Firmware-updates en end-of-life: zo houd je je VPN-toestel bij

Of: waarom een slot dat niemand nog onderhoudt een slot met een vervaldatum is

Een veilige VPN-toegang hangt af van software die je niet zelf schrijft: de firmware van je firewall of VPN-gateway. Zolang de fabrikant die bijwerkt, kun je lekken dichten. Als hij ermee stopt, niet meer. In een gezamenlijke factsheet van februari 2026 vragen CISA, de FBI en het Britse NCSC organisaties daarom om alle randapparaten en hun ondersteuningsdatums bij te houden, en toestellen zonder ondersteuning snel te vervangen.

Concreet komt het op drie gewoontes neer: weet welke versie er op je toestel staat, installeer dringende updates binnen enkele dagen, en vervang het toestel voor de fabrikant ermee stopt.

Firmware-updates en end-of-life: wat er bij te houden valt

Hoe snel is snel genoeg

In het Data Breach Investigations Report 2026 van Verizon staat een cijfer dat elke beheerder zou moeten kennen: organisaties dichtten in 2025 maar 26 procent van de kritieke lekken uit de CISA-lijst volledig, tegenover 38 procent een jaar eerder. De mediane tijd tot een volledige oplossing liep op tot 43 dagen. Voor een lek dat al actief misbruikt wordt, zijn 43 dagen een eeuwigheid.

Voor een zelfstandige met een kleine firewall is de eenvoudigste oplossing vaak de juiste: zet automatische updates aan als het toestel dat aanbiedt. De factsheet van februari 2026 raadt dat uitdrukkelijk aan.

Voor een kmo met dertig werknemers en een IT-partner die de firewall beheert, zet je het op papier. Spreek af binnen hoeveel dagen een update wordt geïnstalleerd als de fabrikant ze dringend noemt of als het lek op de CISA-lijst staat, en wie je verwittigt als dat niet lukt. Een onderhoudscontract dat alleen „regelmatig onderhoud” belooft, zegt daar niets over.

End-of-life: de datum die in geen enkele agenda staat

Elke fabrikant publiceert tabellen met de levenscyclus van zijn modellen: tot wanneer ze verkocht worden, tot wanneer er updates komen. Na die laatste datum blijft het toestel gewoon werken. Het wordt alleen niet meer beschermd.

Twee voorbeelden uit 2025 en 2026:

• In een bericht van november 2026 herinnert SonicWall eraan dat zijn firewalls van de zesde generatie en ouder geen ondersteuning meer krijgen, en raadt het klanten aan over te stappen op een nieuwer toestel.
• Bij de campagne tegen Cisco-firewalls van september 2025 legde CISA de Amerikaanse federale diensten op om hun ASA-toestellen waarvan de ondersteuning uiterlijk op 30 september 2025 afliep, definitief los te koppelen.

Zoek de datum voor jouw model op en zet hem in je agenda, met een jaar marge om een vervanger te kiezen. Een firewall is geen investering voor tien jaar, ook al ziet het kastje er na tien jaar nog prima uit.

Updaten is niet altijd genoeg

Een update dicht het lek. Ze verwijdert niet altijd wat een aanvaller al achterliet. Fortinet beschreef in april 2025 hoe aanvallers na eerdere inbraken een achterpoortje hadden achtergelaten dat een update overleefde en hen leestoegang tot bestanden gaf, mogelijk ook tot de configuratie. Bij de Cisco-campagne van 2025 overleefde de kwaadaardige code volgens CISA zelfs een herstart en een update.

Wat je daarmee doet: als de fabrikant meldt dat een lek actief misbruikt werd, volg je ook zijn instructies om na te gaan of je toestel getroffen is. Bij twijfel vervang je de wachtwoorden, sleutels en certificaten die op het toestel staan, en bewaar je een kopie van de configuratie van voor de update.

Lees de release notes

Soms verandert een update meer dan je verwacht. Fortinet haalde in FortiOS 7.6.3 de tunnelmodus van zijn SSL-VPN weg en vroeg klanten om vóór de update over te stappen op IPsec; wie dat niet deed, zag de oude instellingen verdwijnen. Lees bij een grote versiesprong dus eerst wat er verandert, en test met één gebruiker voor iedereen op maandagochtend thuis zit zonder verbinding.

Kmo-Kristof: Onze firewall draait al acht jaar zonder problemen. Waarom zou ik hem vervangen?

Security-Sofie: Hoe weet je dat hij zonder problemen draait?

Kmo-Kristof: Er is nooit iets gebeurd.

Security-Sofie: Er is nooit iets gemeld. Dat is niet hetzelfde.

De lekken achter de updates

Waarom VPN-toestellen zo vaak dringende updates krijgen, en welke lekken de voorbije jaren actief werden misbruikt, staat bij de lekken die aanvallers zoeken.

Zelf nagaan

Weet je niet welke versie er op je firewall staat of wie de updates installeert, dan is dat de eerste vraag op de checklist voor je IT-partner.