Google Zero-Day-rapport 2025: 90 geëxploiteerde fouten, targeting van bedrijven neemt toe

De jaarlijkse zero-day-analyse van de Google Threat Intelligence Group onthult 90 kwetsbaarheden die in het wild werden geëxploiteerd in 2025 — waarbij bijna de helft zich richtte op bedrijfsbeveiligingsproducten, netwerkapparatuur en cloudinfrastructuur. Spywareleveranciers en aan China gelieerde APT's domineren de toeschrijving. Ondertussen tonen een datalek in de zorg met 3,4 miljoen patiënten en nieuwe fileless-malwarecampagnes aan waarom continue kwetsbaarheidsscanning niet langer optioneel is.

📊 Google's zero-day-landschap van 2025: kerncijfers

De verschuiving naar bedrijven

De belangrijkste bevinding: ongeveer 45 van de 90 zero-days (50%) waren rechtstreeks gericht op bedrijfsproducten in plaats van consumentenendpoints. Dit vertegenwoordigt een dramatische verschuiving ten opzichte van eerdere jaren, toen browsers en mobiele besturingssystemen het zero-day-exploitatielandschap domineerden.

Toeschrijving: wie exploiteert de zero-days?

Minder dan de helft van de 90 zero-days kon worden toegeschreven aan specifieke dreigingsactoren, maar de leidende groepen schetsen een duidelijk beeld:

Waarom bedrijfsproducten nu het primaire doelwit zijn

Verschillende factoren verklaren de verschuiving naar targeting van bedrijven:

• Hoger rendement per exploit — één VPN-appliance-kwetsbaarheid geeft toegang tot volledige bedrijfsnetwerken
• Beperkte EDR-zichtbaarheid — veel bedrijfsappliances missen endpoint detection and response-agents
• Trage patchcycli — bedrijfsproducten hebben vaak weken tot maanden nodig voor patchdeployment
• Vertrouwensaannames — beveiligingsproducten zelf worden impliciet vertrouwd, wat exploitatie verwoestend maakt
• Supplychainhefboom — het compromitteren van één bedrijfsleverancier kan toegang geven tot duizenden downstream-klanten

🏥 TriZetto-datalek in de zorg: 3,4 miljoen patiënten blootgesteld

Tijdlijn van het datalek

Blootgestelde datatypen

• Persoonlijke identificatiegegevens — volledige namen, adressen, geboortedata, burgerservicenummers
• Zorgdossiers — Medicare-begunstigde-ID's, verzekeringslidnummers, providernamen
• Verzekeringsdata — namen van zorgverzekeraars, registraties van geschiktheidsverificatie
• Demografie — aanvullende demografische en gezondheidsinformatie

De 317 dagen durende dwell time (van initiële toegang tot detectie) is bijzonder alarmerend en onderstreept de noodzaak van continue monitoring en geautomatiseerde dreigingsdetectie. Cognizant kreeg eerder al kritiek na het Maze-ransomware-incident van 2020 en een aan Scattered Spider gerelateerd datalek via de helpdesk.

🦠 VOID#GEIST: fileless multi-stage-malwarecampagne

Uiteenzetting van de aanvalsketen

1. Initiële toegang — batchscript opgehaald van een TryCloudflare-domein via phishingmail
2. Afleidingsweergave — Chrome opent een nep-financiële PDF in volledig scherm als visuele afleiding
3. Verborgen uitvoering — PowerShell voert het batchscript opnieuw uit met -WindowStyle Hidden
4. Persistentie — plaatsing in de opstartmap (geen registerwijzigingen, geen privilege-escalatie)
5. Payload-ophaling — gedownloade ZIP-archieven met versleutelde shellcode en een Python-loader
6. Uitvoering in het geheugen — Python-runtime ontsleutelt en injecteert shellcode via Early Bird APC-injectie in explorer.exe

Afgeleverde payloads

🌐 Cisco SD-WAN & Rockwell ICS: meer actieve exploits

Cisco Catalyst SD-WAN

Cisco heeft bevestigd dat twee onlangs gepatchte Catalyst SD-WAN-kwetsbaarheden — CVE-2026-20128 en CVE-2026-20122 — nu actief worden geëxploiteerd in het wild. Organisaties met getroffen SD-WAN-configuraties moeten onmiddellijk patches toepassen of de aanbevolen workarounds implementeren.

Rockwell Automation ICS-kwetsbaarheid

Een Rockwell Automation-kwetsbaarheid, oorspronkelijk in 2021 openbaar gemaakt en gemitigeerd, is bevestigd als actief geëxploiteerd in aanvallen gericht op industriële besturingssystemen. Dit onderstreept een aanhoudende uitdaging in OT/ICS-omgevingen: zelfs wanneer patches bestaan, worden ze vaak niet toegepast vanwege operationele beperkingen en downtimezorgen.

🔒 LeakBase-forum offline gehaald — 142.000 gebruikers

In een positieve ontwikkeling is het cybercriminaliteitsforum LeakBase offline gehaald door wetshandhaving, waarbij verdachten zijn gearresteerd. De marktplaats voor gestolen credentials was actief sinds 2021 en telde 142.000 geregistreerde gebruikers die handelden in gecompromitteerde credentials, persoonlijke data en datalekdatabases.

Hoewel takedowns tijdelijke verstoring bieden, toont de geschiedenis aan dat verplaatste gebruikers doorgaans binnen weken migreren naar alternatieve forums. Organisaties moeten dit venster gebruiken om:

• Te controleren of hun credentials voorkomen in bekende datalekdatabases
• Wachtwoordresets af te dwingen voor gecompromitteerde accounts
• MFA in te schakelen voor alle kritieke systemen

🛡️ Aanbevolen acties

Voor bedrijfsbeveiligingsteams

1. Prioriteer patching van bedrijfsproducten — VPN-appliances, firewalls en beveiligingsproducten zijn nu primaire zero-day-doelwitten
2. Implementeer continue geautomatiseerde scanning — handmatige kwetsbaarheidsbeoordelingen kunnen 90+ zero-days per jaar niet bijbenen
3. Monitor op fileless-uitvoeringspatronen — let op verborgen PowerShell-vensters, downloads van Python-runtime en APC-injectiesignaturen
4. Verminder dwell time — de 317 dagen durende dwell time van het TriZetto-datalek toont de kosten van vertraagde detectie
5. Patch ICS/OT-systemen — oude kwetsbaarheden in Rockwell en vergelijkbare systemen worden jaren na openbaarmaking nog actief geëxploiteerd

Voor zorgorganisaties

1. Audit webportaalbeveiliging — het datalek van TriZetto ontstond via een webportaal dat verzekeringsgeschiktheidsdata verwerkte
2. Implementeer netwerksegmentatie — beperk de blast radius van elke afzonderlijke compromittering
3. Implementeer gedragsanalyse — detecteer ongeautoriseerde toegangspatronen, vooral voor databases met PHI
4. Beoordeel de beveiliging van externe leveranciers — de beveiligingspositie van uw leverancier is uw beveiligingspositie