← Alle artikelen

Externe toegang van uw IT-leverancier: kritiek lek (15-10-2026)

Gepubliceerd op 21 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Op 15 oktober 2026 maakte BeyondTrust een kritiek lek bekend in Remote Support, het gereedschap waarmee veel IT-leveranciers de werkplekken van hun klanten overnemen. Een dag later zette CISA het op de lijst van actief misbruikte kwetsbaarheden. Het mkb-bedrijf dat het raakt, beheert dat kastje niet zelf: zijn leverancier doet dat.

Kort

Op 15 oktober 2026 publiceerde BeyondTrust advisory BT26-05 en kwetsbaarheid CVE-2026-102764, die Remote Support raakt in versie 26.2.3 en eerder^[2]. Het lek krijgt een 9,3 van 10 onder CVSS v4.0 — 9,8 onder CVSS v3.1 — en is via het netwerk te misbruiken, zonder account en zonder dat een gebruiker iets hoeft te doen^[1]. Op 16 oktober 2026 zette CISA het op de lijst van actief misbruikte kwetsbaarheden, met 19 oktober als uiterste hersteldatum voor Amerikaanse federale diensten^[1][4].

Remote Support is het gereedschap waarmee een IT-leverancier op afstand de werkplekken en servers van zijn klanten overneemt. Bent u een mkb-bedrijf, dan staat dat kastje vermoedelijk niet bij u, maar bij uw leverancier. U hebt dus geen patch om te installeren, en dat is precies het probleem. Externe toegang van uw leverancier is het enige toegangspunt tot uw systemen dat u niet beheert en niet in de gaten houdt.

Wat het lek precies doet

De advisory van de leverancier is kort: interne onderdelen van het product controleerden de herkomst van ontvangen berichten niet voldoende, waardoor een aanvaller onder bepaalde omstandigheden bestandsbewerkingen op het apparaat kon uitvoeren^[2]. NIST classificeert het als CWE-290, authenticatie omzeilen door spoofing^[1].

Twee details van de score wegen zwaarder dan het cijfer zelf. Eerst de vector: netwerk, lage complexiteit, geen rechten nodig, geen handeling van een gebruiker^[1]. Het apparaat hoeft dus alleen bereikbaar te zijn. Daarna de drie gevolgen — vertrouwelijkheid, integriteit en beschikbaarheid — alle drie als hoog beoordeeld^[1]. Gereedschap voor overname op afstand bezit per ontwerp de beheerrechten van al zijn klanten: een bestand wegschrijven op zo'n apparaat is nooit een lokaal incident.

Dezelfde week, dezelfde soort probleem: CERT-FR publiceerde op 15 oktober een advisory over een lek in Cisco AsyncOS voor Secure Email Gateway, dat de leverancier eveneens als misbruikt aanmerkt^[5]. Apparatuur aan de rand van het netwerk — mailgateway, VPN, overname op afstand — trekt aanvallen aan omdat die per definitie van buiten bereikbaar is.

Waarom het uw zaak is terwijl het uw server niet is

Een mkb-bedrijf met tien tot tweehonderd medewerkers besteedt zijn IT bijna altijd uit. Het contract gaat over reactietijden en een maandbedrag; over de beveiliging van het gereedschap waarmee de leverancier bij u binnenkomt, staat zelden iets. Het is dezelfde blinde vlek als in ons stuk over NIS2 en Belgische IT-dienstverleners, en hetzelfde patroon als bij de leveranciers van Albert Heijn tijdens de vier dagen dat de keten stillag: het incident gebeurt bij een derde, de gevolgen komen bij u terecht.

Het gaat er niet om van leverancier te wisselen. Het gaat erom eenmalig vast te leggen wat u verwacht op het punt van externe toegang, en dat daarna jaarlijks te controleren. Organisaties die in hun land onder NIS2 vallen, moeten dat doen vanwege de eisen aan de toeleveringsketen; alle andere winnen er simpelweg het antwoord mee op de vraag wie wanneer en met welk account binnen is geweest. Het datalek bij Flink dat begon met de inloggegevens van een oud-medewerker laat zien wat een vergeten toegang kost.

Externe toegang: de zes vragen die u stelt

1. Met welk product neemt u onze werkplekken over, in welke versie, en waar staat dat?
2. Wie installeert de updates: u zelf, uw eigen leverancier, of de fabrikant bij een gehoste opstelling?
3. Binnen hoeveel tijd installeert u een update die als kritiek en misbruikt te boek staat? Geef de datum van de laatste.
4. Melden uw technici zich aan met een persoonlijk account en tweefactorauthenticatie?
5. Kan ik maandelijks een overzicht krijgen van de sessies op onze machines: wie, wanneer, hoe lang?
6. Hoe en binnen welke termijn laat u mij weten dat uw toegangsgereedschap gecompromitteerd is?

De antwoorden passen in een mail. Geen antwoord is ook een antwoord.

De vier landen: bij wie u melding maakt

In de eerste drie landen moet een organisatie die onder de wet valt haar significante incidenten melden bij haar autoriteit, binnen de termijnen van de nationale wet; in Frankrijk wachten de NIS2-verplichtingen nog op de wet. Een datalek met persoonsgegevens blijft los daarvan meldplichtig bij de privacytoezichthouder — AP, APD/GBA, CNPD of CNIL.

Chez CyberNovaLabs.io

Wij maken dit werk hanteerbaar, zonder jargon: een overzicht van de externe toegangen van uw leveranciers, een kant-en-klare vragenlijst voor uw leverancier, en een register van controles dat wij voor u bijhouden. Onze pagina cyberbeveiliging en NIS2-naleving beschrijft de aanpak en het bereik in de vier landen. Op aanvraag geprijsd, na een eerste gesprek van dertig minuten: leg ons uw situatie voor.

Bronnen

1. NIST NVD - CVE-2026-102764 (notation CVSS, inscription au catalogue CISA le 16/10/2026)
2. CVE Record CVE-2026-102764 - fiche publiee par BeyondTrust le 15/10/2026
3. BeyondTrust - avis de securite BT26-05 (15/10/2026)
4. CISA - Known Exploited Vulnerabilities Catalog (ajout du 16/10/2026)
5. CERT-FR - CERTFR-2026-AVI-1325, Cisco AsyncOS pour Secure Email Gateway (15/10/2026)
6. ILR Luxembourg - la loi NIS2 du 5 mai 2026
7. Senat - rapport sur le projet de loi resilience des infrastructures critiques et cybersecurite

Lees ook