Meest voorkomende kwetsbaarheden: wat pentesters vinden

De meest voorkomende kwetsbaarheden in bedrijfsomgevingen zijn zelden spectaculair. Ethische hackers die in 2025 en 2026 bedrijfsnetwerken en applicaties testten, kwamen vooral uit bij autorisatiefouten, servers die al maanden een update misten en inloggegevens die ergens anders al gelekt waren. De zero-day haalt het nieuws, maar hij verklaart de minderheid van de inbraken.

Dit overzicht brengt samen wat de grote testbenchmarks van 2025 en 2026 rapporteren, wat het Centrum voor Cybersecurity België en de Gegevensbeschermingsautoriteit over dezelfde periode registreerden, en hoe u die cijfers moet wegen. Dat laatste is nodig: vrijwel elke benchmark komt van een leverancier die pentesten verkoopt, en dat kleurt de steekproef.

In het kort

• Volgens de State of Penetration Testing 2026 van Stingrai, gebaseerd op 1.206 gevalideerde bevindingen uit 55 penetratietesten tussen oktober 2024 en augustus 2026, bracht 93 procent van de testen minstens één ernstige kwetsbaarheid aan het licht.
• Ongepatchte software was in datzelfde onderzoek verantwoordelijk voor 57 procent van alle bevindingen op interne netwerken.
• Het Cobalt State of Pentesting Report 2026, gebaseerd op 16.500 penetratietesten bij ongeveer 3.000 organisaties, meet een kloof in hersteltempo: de snelste tien procent dicht ernstige kwetsbaarheden in 10 dagen, de traagste tien procent in 249 dagen.
• Het Centrum voor Cybersecurity België registreerde over 2025 635 incidentmeldingen, waarvan 144 accountcompromittering en 105 ransomware.
• Over kmo’s van 10 tot 250 werknemers zonder eigen securityteam bestaat geen publieke benchmark. Dat hiaat is op zich een bevinding.

Welke kwetsbaarheden vinden pentesters het vaakst?

Penetratietesten in 2025 en 2026 leveren drie categorieën bevindingen die in vrijwel elk rapport terugkomen: autorisatiefouten in applicaties zoals Broken Access Control en Insecure Direct Object References, ongepatchte software op interne servers en werkstations, en toegang via geldige maar gecompromitteerde inloggegevens. Volgens Stingrai bevatte 93 procent van de testen minstens één High- of Critical-bevinding.

Die drie categorieën hebben gemeen dat ze niets exotisch vergen. Een autorisatiefout betekent dat een gebruiker gegevens van een andere klant kan opvragen door een nummer in de URL aan te passen. Een ontbrekende update betekent dat een aanvaller een publiek gedocumenteerde fout hergebruikt. Gestolen inloggegevens betekenen dat er helemaal niet ingebroken hoeft te worden.

Wat de cijfers uit de grote benchmarks tonen

De onderstaande tabel zet de bevindingen naast elkaar zoals de bronnen ze rapporteren. De percentages zijn niet opgeteld en niet gemiddeld: elk rapport meet een andere populatie met een andere methode, waardoor een gemiddelde een verzonnen getal zou zijn.

Het verschil tussen intern en extern verdient aandacht. Op de buitenkant van een organisatie vindt een tester relatief minder ernstige zaken: openstaande beheerinterfaces, verouderde webservers, foutieve DNS-records. Zodra iemand binnen is, verandert het beeld. In de Stingrai-dataset viel 92 procent van de interne netwerkbevindingen in de categorieën High of Critical. Service-accounts met te ruime rechten, lokale administratorwachtwoorden die overal hetzelfde zijn en verouderde besturingssystemen maken van één besmette werkplek een vertrekpunt.

Welk type test welke van die lagen raakt, hangt af van de opdracht. Het verschil tussen een externe test, een interne test en een applicatietest staat in ons artikel over welke penetratietest u nodig hebt, hoe vaak u zo’n oefening herhaalt leest u in het artikel over de frequentie van penetratietesten, en de applicatiecategorieën zijn uitgewerkt in de OWASP Top 10 voor 2026.

Waarom er geen cijfers bestaan over de Vlaamse kmo

Dit is het gat dat geen enkele bestaande publicatie dicht. Alle genoemde benchmarks meten organisaties die al een penetratietest kochten. Cobalt en Astra werken met klanten van een testplatform, Mandiant met organisaties die een incidentresponsteam inhuurden, en de meeste directie-enquêtes hanteren een ondergrens van 500 werkplekken. Geaggregeerde publieke data over pentestbevindingen bij niet-technologische bedrijven van 10 tot 250 werknemers bestaat niet.

Dat betekent niet dat de cijfers waardeloos zijn voor een kmo. Het betekent dat ze een ondergrens vormen. De organisaties in deze datasets hebben doorgaans een compliancemandaat, een IT-team en een budgetlijn voor beveiliging. Wanneer binnen die groep 93 procent van de testen een ernstige kwetsbaarheid oplevert, is de kans klein dat een bedrijf dat nog nooit getest is er beter voorstaat.

Het onderzoek van het Cyentia Institute voor Cobalt legt daarbij een perceptiekloof bloot die dit verschil verklaart: 57 procent van de bevraagde directieleden meent dat hun organisatie kwetsbaarheden binnen de afgesproken termijn oplost, tegenover 15 procent van de operationele beveiligers in diezelfde organisaties. Het probleem is zelden dat een bedrijf weet dat het kwetsbaar is. Het probleem is dat het denkt van niet.

Hoe lang blijven kwetsbaarheden openstaan?

De weerbaarheid van een organisatie wordt niet bepaald door het aantal kwetsbaarheden, maar door de verhouding tussen de tijd die een aanvaller nodig heeft en de tijd die de organisatie neemt.

Vijf dagen tot misbruik tegenover 38 dagen tot herstel: dat is het venster waarin geautomatiseerde scans het werk doen. Verizon stelt in het Data Breach Investigations Report 2026 bovendien vast dat de herstelgraad van kwetsbaarheden op de Amerikaanse KEV-lijst van actief misbruikte fouten daalde van 38 procent naar 26 procent, omdat organisaties vijftig procent meer kritieke meldingen te verwerken kregen. Niet trager werken dus, maar meer werk krijgen dan de ploeg aankan.

Voor een kmo betekent dat iets anders dan voor een multinational. Uit de Cobalt-data blijkt dat organisaties tot 100 werknemers ernstige kwetsbaarheden in mediaan 27 dagen dichten, tegenover 61 dagen bij ondernemingen van meer dan 5.001 werknemers. Korte lijnen zijn een reëel voordeel. Dat voordeel verdampt alleen wanneer niemand de kwetsbaarheid ooit in kaart bracht.

Wat de Belgische cijfers over dezelfde periode zeggen

De testbenchmarks zijn internationaal, de handhaving en de schadecijfers zijn dat niet. Drie Belgische en Europese bronnen geven het lokale kader.

Het Centrum voor Cybersecurity België behandelde over 2025 635 incidentmeldingen, bijna 70 procent meer dan het jaar ervoor. Daarvan waren er 556 cybergerelateerd. Accountcompromittering was met 144 dossiers de grootste categorie, gevolgd door 105 ransomware-incidenten, en de openbare besturen en de zorgsector waren de meest geviseerde doelwitten. Diezelfde drie categorieën die pentesters het vaakst vinden, ziet het CCB dus terug in de werkelijke incidenten.

De Gegevensbeschermingsautoriteit registreerde in 2025 1.216 meldingen van datalekken, 16 procent minder dan de 1.455 van 2024, terwijl het aantal klachten van burgers met 67 procent toenam. De toezichthouder wijst voor 2024 menselijke vergissingen bij gegevensuitwisseling en gecompromitteerde inlogaccounts aan als de hoofdoorzaken van de gemelde lekken.

Op Europees niveau telde het ENISA Threat Landscape 2025, gebaseerd op 4.875 geanalyseerde incidenten tussen juli 2024 en juni 2025, phishing als eerste toegangsweg in 60 procent van de gevallen, gevolgd door de exploitatie van kwetsbaarheden met 21,3 procent. België was goed voor 3,7 procent van alle geregistreerde ernstige incidenten in de Unie en staat daarmee vijfde, na Duitsland, Italië, Spanje en Frankrijk.

“Die rapporten komen van bedrijven die pentesten verkopen”

Dat bezwaar klopt en het verdient een eerlijk antwoord. Cobalt, Astra, Stingrai en HackerOne exploiteren allemaal een commercieel testplatform. Hun data komt uit opdrachten die iemand betaald heeft. Een rapport dat concludeert dat testen nuttig is, komt van een partij die testen verkoopt.

Drie zaken beperken dat probleem. Ten eerste werkt de selectiebias in het nadeel van de leverancier, niet in zijn voordeel: de gemeten populatie is volwassener dan de gemiddelde onderneming, dus de werkelijke situatie bij een ongetest bedrijf is waarschijnlijk slechter dan de cijfers suggereren. Ten tweede komen dezelfde patronen terug bij instanties die niets verkopen: het CCB rapporteert accountcompromittering als grootste categorie en ENISA phishing als dominante toegangsweg. Ten derde meet de Verizon-dataset geen testen maar werkelijke inbraken bij organisaties die niet zelf kozen om gemeten te worden.

Wat u met die cijfers niet mag doen, is ze optellen of middelen. Wanneer Verizon 31 procent meet op forensische incidentdata en ENISA 21,3 procent op Europese incidentmeldingen, gaat het over verschillende populaties en verschillende definities. Zet ze naast elkaar, benoem het verschil in methode en gebruik ze om een richting te bepalen, niet om een percentage te claimen.

Wat dit betekent voor een bedrijf dat nog nooit getest is

De bevindingen vertalen zich naar vijf maatregelen die geen van alle een groot budget vragen, maar wel een beslissing.

1. Breng uw externe blootstelling in kaart. Welke systemen zijn vanaf het internet bereikbaar, welke beheerinterfaces staan open en welke daarvan draaien nog op een versie zonder recente updates. Dit is het vertrekpunt van elke technische audit en van een penetratietest.
2. Leg een patchtermijn vast per ernstniveau. Met vijf dagen tussen bekendmaking en misbruik is een maandelijkse updatecyclus voor extern bereikbare systemen te traag. Zet de termijn op papier en meet of u hem haalt.
3. Dicht de autorisatielaag in uw eigen software. Omdat 91 procent van de kritieke applicatiefouten volgens Astra geen CVE heeft, vindt geen enkele geautomatiseerde scanner ze. Rolgebaseerde toegangscontrole en een controle op objectverwijzingen in klantportalen zijn handwerk.
4. Controleer waar meervoudige authenticatie ontbreekt. Niet op de mailbox, die is meestal in orde, maar op beheerportalen, testomgevingen en oudere toepassingen. Dat is waar testers ze systematisch missen.
5. Ruim vergeten test- en ontwikkelomgevingen op. Die draaien vaak op oudere versies, bevatten een kopie van de echte klantendatabase en missen de toegangsbeperkingen van de productieomgeving.

Hoe u de resultaten van zo’n oefening leest en prioriteert, staat in ons artikel over het interpreteren van een pentestrapport. Wat zo’n opdracht kost en welke subsidies er bestaan, staat in het artikel over pentestkosten in België.

Uw eigen cijfer in plaats van dat van een benchmark

Elk cijfer in dit overzicht komt van een andere organisatie dan de uwe. De enige meting die uw risico beschrijft, is er een op uw eigen systemen. Cyberplan brengt in kaart welke systemen van uw organisatie vanaf het internet zichtbaar zijn, waar meervoudige authenticatie ontbreekt en welke kwetsbaarheden openstaan, en zet die bevindingen om in een herstelvolgorde. Een vrijblijvend gesprek van een half uur volstaat om te bepalen welk type onderzoek in uw situatie zinvol is.

Veelgestelde vragen

Wat zijn de meest gevonden kwetsbaarheden tijdens een pentest?

Autorisatiefouten zoals Broken Access Control, ongepatchte software op interne servers en gecompromitteerde inloggegevens komen het vaakst voor. Volgens de State of Penetration Testing 2026 van Stingrai bevat 93 procent van de geteste omgevingen minstens één ernstige kwetsbaarheid, en is ongepatchte software goed voor 57 procent van alle interne bevindingen.

Wat is het verschil tussen een kwetsbaarheid en een exploit?

Een kwetsbaarheid is een zwakte in software of configuratie, bijvoorbeeld een ontbrekende update of een verkeerd ingesteld toegangsrecht. Een exploit is het concrete aanvalspad waarmee iemand die zwakte misbruikt. Een kwetsbaarheid zonder bruikbaar aanvalspad is een risico op papier; met een exploit wordt het een incident.

Hoe snel worden kwetsbaarheden gemiddeld hersteld?

Volgens het Cobalt State of Pentesting Report 2026 dicht de snelste tien procent van de organisaties de helft van de ernstige kwetsbaarheden binnen 10 dagen, terwijl de traagste tien procent daar 249 dagen over doet. Stingrai meet voor kritieke bevindingen een gemiddelde hersteltijd van 10,5 dagen.

Hoeveel cyberincidenten waren er in België in 2025?

Het Centrum voor Cybersecurity België behandelde in 2025 635 incidentmeldingen, bijna 70 procent meer dan in 2024. Daarvan waren er 556 cybergerelateerd. Accountcompromittering was met 144 dossiers de grootste categorie, gevolgd door 105 ransomware-incidenten.

Waarom vinden geautomatiseerde scanners logische kwetsbaarheden niet?

Scanners vergelijken versienummers en configuraties met bekende kwetsbaarheden. Volgens Astra Security heeft 91 procent van de kritieke applicatiebevindingen geen CVE-nummer, omdat het om autorisatie- en bedrijfslogicafouten gaat. Die vergen begrip van wie welke gegevens mag zien, en dat blijft handwerk.

Zijn die pentestcijfers representatief voor een kmo?

Niet volledig. De benchmarks meten organisaties die al een penetratietest kochten en dus doorgaans over een IT-team en een beveiligingsbudget beschikken. Over kmo’s van 10 tot 250 werknemers zonder eigen securityteam bestaat geen publieke dataset. De gepubliceerde cijfers vormen daardoor eerder een ondergrens dan een gemiddelde.