Meldplicht CRA van kracht, kritieke lekken in ScreenConnect en PaperCut misbruikt

Vandaag, 11 september 2026, is de meldplicht van de Europese Cyber Resilience Act (CRA) van kracht geworden. Fabrikanten van producten met digitale componenten moeten nu actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van hun producten raken, melden bij het Nationaal Cyber Security Centrum (NCSC). Een vroegtijdige melding moet binnen 24 uur plaatsvinden, gevolgd door een uitgebreidere melding binnen 72 uur. Een eindverslag is verplicht binnen 14 dagen na een patch voor een misbruikt lek, of een maand na de melding van een incident. Deze meldplicht geldt ook voor oudere producten die nog op de Europese markt beschikbaar zijn 223.

Er zijn kritieke kwetsbaarheden ontdekt en misbruikt in ConnectWise ScreenConnect en PaperCut MF/NG. Een lek in ScreenConnect (CVE-2026-84869) met een CVSS-score van 9.9 maakt het mogelijk voor aanvallers om code op client-systemen uit te voeren via bestandsoverdracht in actieve remote sessies. ConnectWise heeft hiervoor een patch uitgebracht, die on-premises installaties handmatig moeten toepassen, terwijl cloud-implementaties al automatisch zijn bijgewerkt 1. Daarnaast zijn via kwetsbaarheden in PaperCut MF/NG (CVE-2026-81578 en CVE-2026-82078) zeker 440 servers van 395 organisaties in 48 landen gecompromitteerd. Een aanvaller heeft hiervoor een AI-gestuurde exploit ontwikkeld en toegepast. Het NCSC waarschuwt dat aanvallers via deze lekken de controle over de printomgeving kunnen overnemen en toegang kunnen krijgen tot andere netwerksystemen, met mogelijke datadiefstal of verstoring van de bedrijfsvoering als gevolg. Honderd PaperCut-servers zijn nog steeds vanaf het internet toegankelijk zonder de noodpatches 5.

KnowBe4 waarschuwt voor grootschalig misbruik van de Direct Send-functie in Microsoft 365, waarbij in juli en augustus 2026 bijna 30.000 spoofing-mails zijn waargenomen. Aanvallers gebruiken deze functie om e-mails te versturen die afkomstig lijken van interne adressen, zoals HR of accounting, zonder inloggegevens. Deze mails kunnen valse verzoeken om documenten, voicemailmeldingen of betalingsgoedkeuringen bevatten, waarbij in 4.023 gevallen het reply-to-adres naar een ander domein verwees. Ongeveer 35 procent van de onderzochte e-mails bevatte een kwaadaardige bijlage 4.

Huisartsencentrum Klein Iterson in Gouda is getroffen door een hack, opgeëist door ransomwaregroep LockBit 5.0. Hierbij zijn medische dossiers, namen, geboortedata, en in sommige gevallen burgerservicenummers en contactgegevens van patiënten buitgemaakt. Gestolen documenten zijn al op internet gepubliceerd. Patiënten zijn geïnformeerd via MijnGezondheid.net en e-mail 11. Ook vpn-provider Surfshark meldt een inbraak op een interne testomgeving, veroorzaakt door een menselijke fout waardoor een testserver toegankelijk was vanaf het internet. Beperkt intern engineeringmateriaal, inclusief build-gerelateerde credentials, is buitgemaakt, maar er zijn geen klantgegevens of productiesystemen gecompromitteerd 13.

De opsporing van cybercrime in Nederland stagneert, met 370 verdachten in 2025, wat lager is dan de beoogde 400. Het aantal fenomeenonderzoeken daalde van 46 in 2024 naar 29 in 2025. Minister Van Weel van Justitie en Veiligheid wijt dit aan de toenemende omvang en technische complexiteit van cybercrimezaken, langere doorlooptijden en een grotere afhankelijkheid van internationale rechtshulp. Impactvolle hacks in 2025 hebben ook geleid tot herprioritering van capaciteit binnen cybercrimeteams 16. Een Oekraïense man is in de VS veroordeeld tot vier jaar cel voor zijn rol in Conti-ransomwareaanvallen, die wereldwijd meer dan duizend organisaties troffen en meer dan 150 miljoen dollar aan losgeld opleverden 12.