Kwetsbaarheden in VPN-toestellen: waarom aanvallers je firewall viseren
Kwetsbaarheden in VPN-toestellen behoren tot de lekken die aanvallers het vaakst misbruiken. Een VPN-gateway of firewall staat open naar het internet, heeft toegang tot het interne netwerk en draait zelden beveiligingssoftware die een inbraak opmerkt. Sinds 2023 zette het Amerikaanse CISA lekken in toestellen van onder meer Fortinet, Ivanti, Citrix, Palo Alto Networks, SonicWall en Cisco op zijn lijst van actief misbruikte kwetsbaarheden. Deze gids legt uit waarom net die toestellen in het vizier liggen en wat een zelfstandige of kmo eraan doet.
Of: waarom de stevigste deur van je zaak ook het vaakst wordt gecontroleerd
Wie zijn VPN-poort wil bewaken, moet eerst weten waarom net die poort zo gegeerd is. Een VPN-gateway staat aan de rand van je netwerk, is bereikbaar vanaf het hele internet en mag per definitie verbindingen naar binnen doorlaten. Een lek in dat toestel is dus meteen een lek naar binnen. Het Amerikaanse CISA houdt een catalogus van actief misbruikte kwetsbaarheden bij, en VPN-toestellen van de grote merken staan er geregeld in.
Kort: het probleem is niet één slecht merk. Het is een soort toestel dat aanvallers loont, en elke grote fabrikant heeft er al ernstige lekken in gehad. Wat jij in de hand hebt, is hoe snel de update erop staat.
Kwetsbaarheden in VPN-toestellen: waarom net daar
Drie redenen
Het toestel is bereikbaar. Een server in je kantoor zit achter de firewall. De firewall zelf niet: het VPN-portaal moet antwoorden op wie aanklopt, van waar ook.
Het toestel zit op een sleutelpositie. Alle VPN-verkeer passeert erlangs. Het kent vaak de koppeling met je gebruikerslijst, bewaart certificaten en mag verbindingen naar het interne netwerk openen. Wie het overneemt, staat binnen met de rechten van de portier.
Niemand kijkt mee. Op een laptop draait antivirus- of detectiesoftware. Op een firewall meestal niet, en de logboeken staan vaak op het toestel zelf, waar een aanvaller ze kan aanpassen.
Die combinatie trekt aanvallers aan, en dat is te meten. In het Data Breach Investigations Report 2025 van Verizon ging 22 procent van de misbruikte kwetsbaarheden over randapparaten en VPN’s, tegenover 3 procent een jaar eerder. Volgens hetzelfde rapport was maar ongeveer 54 procent van die lekken in de loop van het jaar volledig gedicht, met een mediaan van 32 dagen.
Een greep uit de publieke campagnes
Deze tabel bevat geen volledige lijst, maar een reeks lekken die publiek gedocumenteerd zijn, met de datum waarop CISA ze als actief misbruikt registreerde.
| Fabrikant | Product | Lek | Op de CISA-lijst | Wat de maatregel was |
|---|---|---|---|---|
| Citrix | NetScaler ADC en Gateway | CVE-2023-4966 („Citrix Bleed”) | 18 oktober 2023 | updaten, daarna alle actieve sessies afsluiten |
| Ivanti | Connect Secure | CVE-2023-46805 en CVE-2024-21887 | 10 januari 2024 | updaten; Amerikaanse overheidsdiensten moesten de toestellen loskoppelen en opnieuw opbouwen |
| Fortinet | FortiOS SSL-VPN | CVE-2024-21762 | 9 februari 2024 | updaten, of de SSL-VPN uitschakelen tot de update er staat |
| Palo Alto Networks | PAN-OS (GlobalProtect) | CVE-2024-3400 | 12 april 2024 | updaten met de hotfix van de fabrikant |
| SonicWall | SonicOS (beheertoegang en SSL-VPN) | CVE-2024-40766 | 9 september 2024 | updaten, wachtwoorden vervangen, MFA verplichten |
| Cisco | ASA en Firepower Threat Defense | CVE-2025-20333 en CVE-2025-20362 | 25 september 2025 | updaten, toestellen zonder ondersteuning vervangen |
En het houdt niet op. In 2026 kwamen er op de lijst onder meer een reeks lekken in Ivanti Connect Secure bij (oktober), een lek waarmee de aanmelding bij Citrix NetScaler Gateway kon worden omzeild (CVE-2026-19490, september) en een lek in de SSL-VPN van SonicWall (CVE-2026-19868, november). Volgens mijn telling stonden er op 10 november 2026 meer dan honderd lekken in firewalls en VPN-gateways van deze merken op de CISA-lijst.
Wat ze gemeen hebben
Bij bijna al die lekken zat de fout in het deel van het toestel dat gebruikers van buitenaf bedienen: het VPN-portaal of de webinterface. Dat deel moet openstaan, en daarom wordt het zo grondig onderzocht, door onderzoekers en door aanvallers.
Een tweede gemeenschappelijk punt is minder bekend: updaten volstaat niet altijd. Fortinet schreef in april 2025 dat aanvallers na eerdere inbraken een achterpoortje hadden achtergelaten dat een update overleefde en hen leestoegang gaf tot bestanden, mogelijk ook de configuratie. Fortinet raadde aan de configuratie van getroffen toestellen als mogelijk gelekt te behandelen. Bij de Cisco-campagne van september 2025 overleefde de kwaadaardige code volgens CISA zelfs een herstart en een update.
Voor een kmo betekent dat: na een ernstig lek dat actief misbruikt werd, volg je ook het advies van de fabrikant om na te gaan of je toestel getroffen is, en vervang je de wachtwoorden en sleutels die erop staan.
Neem een architectenbureau met twaalf medewerkers en een firewall die de installateur een paar jaar geleden plaatste. De VPN werkt, dus niemand kijkt ernaar. Het bureau is geen doelwit omdat het een architectenbureau is. Het staat op een lijst omdat het versienummer van zijn firmware op een lijst staat.
Wat je eraan doet
- Weet welk merk, model en welke firmwareversie je hebt.
- Laat iemand de beveiligingsberichten van de fabrikant volgen, en registreer je zaak bij Safeonweb@work, waar het CCB waarschuwingen verstuurt.
- Zet functies uit die je niet gebruikt, zoals een webportaal of een beheerinterface die bereikbaar is vanaf het internet.
- Installeer een update voor een lek dat actief misbruikt wordt binnen dagen, en lees het advies van de fabrikant tot het einde.
- Zet tweestapsverificatie op elke VPN-login, zodat een gelekt wachtwoord alleen niet volstaat.
Als er geen updates meer komen
Al die maatregelen veronderstellen dat de fabrikant nog updates uitbrengt. Voor oudere toestellen is dat niet zo. Hoe je dat nagaat en wat je dan doet, lees je bij het einde van de ondersteuning.
Van lek naar losgeld
Een lek in een VPN-toestel is voor ransomwarebendes een geliefde ingang. Hoe zo’n aanval verloopt en waar je hem kunt breken, staat bij hoe ransomwarebendes binnenkomen.