Het zero-day-probleem van SonicWall: wat kleine bedrijven moeten weten over INC-ransomware

18 augustus 2026 | Blog

Auteur: Craig Taylor

Ik kan geen koffiebar bezoeken, een rondje golf spelen of een gezellig praatje maken met een oude vriend zonder dat AI ter sprake komt. Wat doet het met je leven, je werk, je bedrijf? Alles lijkt te draaien om AI-frontiermodellen en de impact van AI op ons dagelijks leven. AI staat centraal in het onderstaande artikel over de zero-day-kwetsbaarheden van SonicWall, omdat deze kwetsbaarheden hoogstwaarschijnlijk zijn ontdekt door een frontiermodel, bewapend door een frontiermodel met een proof of concept, en vervolgens verholpen door patches die zijn gecodeerd door een frontier-AI-model.

Geavanceerde AI-modellen scannen nu systematisch alle online software, inclusief firewalls en netwerkapparaten, op kwetsbaarheden. Ze testen met een snelheid en diepgang die geen enkel menselijk team ooit heeft geëvenaard. In de afgelopen zes maanden hebben grote firewallleveranciers 10 tot 25 keer meer patches uitgebracht dan in welke voorgaande periode dan ook. Bug bounty-programma's bij sommige leveranciers zijn stopgezet omdat het aantal inzendingen de beoordelingscapaciteit overtreft. Ontwikkelteams worden overspoeld met patches die getest en geïmplementeerd moeten worden. De Five Eyes-alliantie heeft in juni 2026 een gezamenlijk advies uitgegeven waarin wordt gewaarschuwd dat organisaties maanden de tijd hebben om zich voor te bereiden, en geen jaren. Twee recente zero-day-kwetsbaarheden in SonicWall-firewalls zijn geen op zichzelf staand geval. Ze vertegenwoordigen een patroon dat nu elke leverancier van internetgerichte producten treft.

Het onderstaande artikel gaat over één specifieke leverancier, maar dit geldt voor elke leverancier waarmee u werkt. Hun bug bounty-programma's zijn tijdelijk stopgezet omdat ze de vele inzendingen niet kunnen verwerken. Hun ontwikkelaars worden overspoeld met bugfixes die getest en geïmplementeerd moeten worden. De spanning loopt op en iedereen moet aan de slag... het is nu tijd om je voor te bereiden en je schrap te zetten. Wacht niet tot het te laat is.

Wat is er gebeurd met SonicWall?

Onderzoekers van Security AI ontdekten twee kwetsbaarheden in SonicWall-firewalls, aangeduid als CVE-2026-15409 en CVE-2026-15410. Aanvallers maakten ongeveer drie weken lang misbruik van beide kwetsbaarheden voordat SonicWall op 14 juli een patch uitbracht. Gedurende die drie weken combineerden hackers de twee kwetsbaarheden om volledige toegang te krijgen tot getroffen apparaten, gegevens te stelen en netwerken te blokkeren met ransomware.

Wie zit daarachter?

Een ransomwaregroep genaamd INC ontpopte zich als de meest actieve aanvaller die deze kwetsbaarheden misbruikte nadat de patch was uitgebracht. INC runt sinds 2023 een ransomwarebedrijf en heeft bijna 900 slachtoffers gemaakt in 71 landen. Beveiligingsbedrijf Rapid7 volgde de activiteiten van de groep en ontdekte dat INC sneller van inbraak naar het verspreiden van ransomware overging dan eerdere aanvallers die dezelfde kwetsbaarheden testten vóór de openbare bekendmaking.

Rapid7 gaf aan dat het in de meeste recente gevallen waarop het reageerde, datadiefstal en versleuteling had weten te voorkomen, hoewel ransomware in ten minste één incident wel succesvol was ingezet. Een ander bedrijf, Resecurity, ontdekte dat INC op zijn darkweb-leksite nieuwe slachtoffers uit Australië, de Verenigde Staten, de Verenigde Arabische Emiraten, Colombia en Zwitserland had geregistreerd. Sommige slachtoffers ontvingen telefoontjes en e-mails van mensen die hen onder druk zetten om te betalen.

Waarom dit belangrijk is voor uw bedrijf

Dit is niet het eerste beveiligingsprobleem met SonicWall-apparaten. Tien van de zeventien SonicWall-kwetsbaarheden die sinds 2021 aan de lijst met bekende misbruikte kwetsbaarheden van de federale overheid zijn toegevoegd , houden verband met ransomware-aanvallen. Alleen al vorige week ontdekten onderzoekers een reeks aanvallen waarbij in twee dagen tijd 30 SonicWall-klanten werden getroffen met behulp van gestolen inloggegevens.

Als uw bedrijf een SonicWall-firewall of een ander beveiligingsapparaat met internetverbinding gebruikt, is dit patroon ook op u van toepassing. Aanvallers richten zich op populaire, veelgebruikte hardware, omdat één werkende exploit duizenden organisaties treft die dezelfde apparatuur gebruiken.

Praktische tips die je vandaag nog kunt toepassen

Sneller patchenMet SonicWall 7.1.1 of later kunt u automatische firmware-updates inschakelen volgens vaste schema's. Schakel dit elke nacht in tussen 1 en 2 uur 's nachts. Gezien het tempo van de aanvallen na patchreleases is dit een verstandige maatregel.
Verminder het aanvalsoppervlakControleer de poorten en protocollen die u inkomend verkeer via uw firewall toestaat. Besteed aandacht aan VPN-verkeer of andere eenmalige oplossingen. Als u per se SSH wilt tunnelen, beperk dit dan tot specifieke online IP-adressen in plaats van elk IP-adres.
Identificeer eventuele tekenen van inbraak.Controleer uw logbestanden op ongebruikelijke activiteit vanaf eind juni. Zoek naar inlogpogingen, configuratiewijzigingen of verkeer dat u niet herkent.
Proactief Beheerderswachtwoorden wijzigen en reset de inloggegevens die aan uw firewall en VPN zijn gekoppeld, vooral als u deze niet recentelijk hebt gewijzigd.
Controleer of multifactorauthenticatie is ingeschakeld voor alle toegang op afstand (er zijn geen uitzonderingen toegestaan). Deze ene gewoonte voorkomt de meeste inbraakpogingen op basis van inloggegevens voordat ze beginnen.

Geen van deze stappen vereist een groot budget of een speciaal beveiligingsteam. Een paar gerichte uren beschermen uw bedrijf tegen het risico om de volgende naam op een lekwebsite te worden.

De CyberHoot Takeaway

Firewalls kunnen soms falen en als dat gebeurt, kan dat grote gevolgen hebben. Leveranciers brengen tegenwoordig sneller patches uit dan ooit tevoren. Aanvallers passen zich ook sneller aan en voeren sneller aanvallen uit. Net wanneer we dachten dat het niet sneller kon, gebeurt het toch. Het inschakelen van dagelijkse firmware-updates klinkt misschien riskant, maar de vraag is: is een zeldzame storing door een mislukte firmware-installatie beter dan een inbreuk?

Uw volgende stap

Neem vandaag een uur de tijd om de configuratie van uw firewall te controleren. Schakel automatische updates voor de firmware in (dagelijks indien mogelijk). Sluit onnodige poorten, controleer of MFA is ingeschakeld voor alle oplossingen voor toegang op afstand, verminder de hoeveelheid data op uw interne netwerk en implementeer een honeypot.

Stuur dit artikel door naar degene die verantwoordelijk is voor de IT binnen uw bedrijf, zelfs als u dat zelf bent. Een paar proactieve maatregelen vandaag de dag geven u gemoedsrust, een betere kans tegen de huidige aanvalssnelheden en een aantal verdedigbare, proactieve maatregelen die u kunt delen met het management in het licht van de groeiende zorgen over aanvallen op geavanceerde AI-modellen. Oh, en vergeet vooral niet om Hoot Up te gebruiken!

Bronnen:

Veelgestelde Vragen / FAQ

Welke kwetsbaarheden in Sonicwall (CVE-2026-15409 en CVE-2026-15410) werden onlangs bekendgemaakt? Het betreft twee zero-day-kwetsbaarheden in SonicWall-firewalls die ongeveer drie weken lang in de praktijk werden misbruikt voordat SonicWall ze op 14 juli 2026 openbaar maakte en verhelpt. Aanvallers combineerden de twee kwetsbaarheden om volledige toegang te krijgen tot de getroffen apparaten.

Wie zit er achter de aanvallen? Verschillende partijen onderzochten de kwetsbaarheden voordat ze openbaar werden gemaakt, maar INC ransomware, een ransomware-as-a-service-groep die sinds 2023 actief is, is uitgegroeid tot de meest prominente en effectieve aanvaller die de kwetsbaarheidsketen sinds de openbaarmaking heeft uitgebuit.

Hoeveel organisaties zijn getroffen? Het exacte aantal is onbekend. Rapid7 heeft op verschillende incidenten gereageerd en in de meeste gevallen datadiefstal of versleuteling voorkomen, maar onderzoekers zeggen dat de volledige omvang waarschijnlijk veel groter is dan wat één enkele beveiligingsleverancier kan zien. INC heeft op zijn leksite nieuwe slachtoffers in verschillende landen vermeld.

Is dit de eerste keer dat SonicWall met dit soort problemen te maken krijgt? Nee. SonicWall heeft de afgelopen jaren te maken gehad met een reeks beveiligingsproblemen, waaronder andere actief misbruikte zero-day-aanvallen, een massale aanval met gestolen inloggegevens die in twee dagen tijd 30 klanten trof, en een eerder incident waarbij aanvallers firewallconfiguratiebestanden van alle SonicWall-klanten stalen.

Wat moeten SonicWall-klanten nu doen? Installeer de beschikbare patches onmiddellijk, controleer de logboeken op verdachte activiteiten vanaf eind juni, vervang alle inloggegevens die aan de getroffen apparaten zijn gekoppeld en houd SonicWall-apparaten die met internet verbonden zijn nauwlettend in de gaten op ongebruikelijk gedrag.