CVE Critical en High: wat betekent dit voor uw bedrijf?

Een kwetsbaarheid met een hoge score verdient aandacht. Welke maatregel eerst nodig is, hangt ook af van uw systemen, de bereikbaarheid en aanwijzingen voor daadwerkelijk misbruik.

CVE en CVSS zijn verschillende begrippen

Een CVE-identificatie maakt duidelijk over welke geregistreerde kwetsbaarheid wordt gesproken. Het nummer zelf vertelt niet hoe ernstig de kwetsbaarheid is. Een CVSS-score kan daarbij helpen: die drukt de technische ernst uit volgens een vast scoringsmodel.

Bij CVSS versie 3.1 valt een score van 7,0 tot en met 8,9 onder High en van 9,0 tot en met 10,0 onder Critical. Noteer ook de gebruikte CVSS-versie en de bron van de score. De classificatie is een vertrekpunt voor beoordeling, geen complete risicoanalyse van uw bedrijf.

Een hoge score is niet het hele verhaal

Stel dat een kwetsbare toepassing alleen op een afgeschermde testcomputer staat. Een andere kwetsbaarheid zit op een systeem dat rechtstreeks via internet bereikbaar is en waarvoor actief misbruik bekend is. Alleen de score naast elkaar zetten geeft dan onvoldoende richting voor de volgorde van herstel.

CISA onderhoudt daarom de Known Exploited Vulnerabilities-catalogus: een overzicht van kwetsbaarheden waarvan misbruik in de praktijk bekend is. Zulke informatie helpt bij prioriteren, naast de rol van het systeem, de gegevens die het verwerkt en de aanwezige bescherming.

Actuele dreigingen, kwetsbaarheden en updates via het NCSC

Het Nationaal Cyber Security Centrum publiceert beveiligingsadviezen over kwetsbare software, de mogelijke gevolgen en maatregelen zoals beveiligingsupdates of tijdelijke oplossingen. Bekijk het actuele overzicht met NCSC Security Advisories en de bredere NCSC-kwetsbaarhedeninformatie.

Een advies moet worden gekoppeld aan uw eigen producten, versies en bereikbaarheid. Controleer ook de oorspronkelijke leveranciersinformatie voor de juiste update en eventuele aanvullende herstelacties. Een NCSC-prioriteit zoals Urgent of Normaal is een ander gegeven dan een CVSS-classificatie zoals High of Critical.

Van advies naar update

Controleer of het getroffen product en de genoemde versie aanwezig zijn.
Beoordeel blootstelling, bedrijfsimpact en aanwijzingen voor misbruik.
Plan de patch of voer de aanbevolen tijdelijke maatregel uit.
Controleer na uitvoering de versie, werking en eventuele aanvullende acties.
Leg vast wat is opgelost en welke risico’s nog openstaan.

Nieuwe informatie kan een advies wijzigen. Open daarom steeds de actuele bron; dit artikel is uitleg en geen automatisch bijgewerkte lijst van alle meldingen. Het NCSC adviseert bovendien om meerdere bronnen en de eigen inventaris te gebruiken.

Van signalering naar aantoonbare opvolging

Inventariseren: welke apparaten, softwareversies en diensten zijn werkelijk in gebruik?
Beoordelen: is de bevinding van toepassing op deze installatie en configuratie?
Prioriteren: hoe ernstig is de kwetsbaarheid, is misbruik bekend en hoe bereikbaar is het systeem?
Maatregel kiezen: werk bij, pas een configuratie aan of kies een tijdelijke beperking wanneer dat nodig is.
Uitvoeren en controleren: plan onderhoud, controleer de uitkomst en registreer openstaande uitzonderingen.

Niet iedere kwetsbaarheid heeft meteen een bruikbare patch. Een tijdelijke maatregel kan nodig zijn. Ook moet na een update worden vastgesteld of de beoogde versie actief is en de bedrijfssoftware nog goed werkt.

Hoe verschilt dit van gewoon patchmanagement?

Onderdeel	Hoofdvraag	Uitkomst
Patchmanagement	Welke ondersteunde updates moeten worden uitgevoerd?	Geplande installatie en controle van updates
Kwetsbaarhedencontrole	Welke bevindingen raken onze omgeving?	Overzicht met toepasselijkheid en prioriteit
Opvolging	Welke actie neemt welk risico weg?	Maatregel, controle of vastgelegde uitzondering

Een scanrapport is dus niet hetzelfde als afgerond herstel. Spreek ook af wie uitzonderingen beoordeelt, wie een onderhoudsvenster goedkeurt en hoe de voortgang terugkomt in de rapportage.

De CVE-dienst bij Computim

Computim biedt CVE Critical/High-controle als onderdeel van Gold. Bij Silver is deze dienst optioneel voor €35 extra per werkplek per maand exclusief btw. De dienst richt zich op beoordeling, prioritering en afgesproken opvolging van ernstige bevindingen op de ondersteunde omgeving.

De dekking wordt vooraf vastgesteld. Een controle op werkplekken is niet automatisch een volledige penetratietest van websites, servers en cloudomgevingen. Bekijk de MSP-pakketten en supporturen en lees meer over cybersecurity voor bedrijven.

Veelgestelde vragen

Betekent Critical dat mijn bedrijf al gehackt is?

Nee. De classificatie beschrijft de ernst van een kwetsbaarheid. Of deze aanwezig en misbruikt is, vraagt om afzonderlijk onderzoek.

Is een CVE-nummer hetzelfde als een risicoscore?

Nee. Een CVE is een identificatie; een CVSS-score beschrijft technische ernst volgens een scoringsmodel.

Kan iedere kwetsbaarheid automatisch worden opgelost?

Nee. Ondersteuning, beschikbare patches, configuratie en bedrijfssoftware bepalen wat mogelijk is. Soms is een tijdelijke maatregel of vervanging nodig.

Is een scan hetzelfde als een penetratietest?

Nee. Een kwetsbaarhedencontrole en een penetratietest hebben een andere aanpak en scope.

Waar staat de voortgang van de CVE-dienst?

De relevante bevindingen en opvolging worden meegenomen in de afgesproken rapportage. Openstaande acties en uitzonderingen moeten herkenbaar blijven.

Maak beheerafspraken die bij uw bedrijf passen

Computim brengt werkplekken, Microsoft 365, beveiliging, back-up en netwerk samen. Bekijk de pakketten of bespreek uw bestaande omgeving.

Vergelijk Brons, Silver en Gold

Vraag advies over uw omgeving →

Verder lezen

Bronnen en verdieping

Technische mogelijkheden verschillen per versie, licentie en inrichting.