De traditionele aanpak van cybersecurity, waarbij organisaties proberen sneller te patchen dan aanvallers kunnen exploiteren, is niet langer effectief in het huidige dreigingslandschap. Uit een recent onderzoek blijkt dat handmatige herstelprocessen in 88% van de gevallen niet konden bijbenen bij de meest kritieke en actief misbruikte kwetsbaarheden van de afgelopen vier jaar. In de helft van deze gevallen waren kwetsbaarheden al actief misbruikt voordat er überhaupt een patch beschikbaar was.

Het onderzoek, dat meer dan een miljard CISA KEV herstelrecords van 10.000 organisaties tussen 2022 en 2025 analyseerde, laat zien dat het probleem niet alleen een kwestie van snelheid is, maar vooral een structureel probleem. Het aantal kwetsbaarheden is sterk toegenomen, terwijl de aanvalsvlakken van organisaties sneller groeien dan beveiligingsteams kunnen bijhouden. Het percentage kritieke kwetsbaarheden dat na zeven en dertig dagen nog openstaat, is zelfs verslechterd. Dit fenomeen wordt aangeduid als de menselijke limiet, waar geen extra personeel of procesverbeteringen doorheen lijken te breken.

Het rapport introduceert nieuwe meetmethoden zoals de Average Window of Exposure (AWE), die de totale duur meet tussen het moment dat een kwetsbaarheid wordt misbruikt en het moment van herstel binnen de organisatie. Daarnaast wordt het begrip Risk Mass geïntroduceerd, dat de cumulatieve blootstelling van een organisatie tijdens deze periode kwantificeert. Voor een enkele kwetsbaarheid, zoals Follina, bedroeg deze blootstelling 33.000 dagen, waarvan 80% buiten de gebruikelijke reactietijd viel. Ook wordt de Manual Tax besproken, die het effect meet van assets die handmatige processen niet bereiken en daardoor vier tot vijf keer langer blootgesteld blijven dan gemiddeld. Tot slot toont het rapport een bevestigingskloof aan: zelfs bij de meest kritieke en extern exploiteerbare kwetsbaarheden ontbreekt vaak het bewijs wat daadwerkelijk exploiteerbaar is binnen de eigen omgeving.

Het volledige rapport, getiteld The Broken Physics of Remediation, presenteert deze bevindingen en pleit voor een nieuwe aanpak die ingebedde intelligentie combineert om risico’s te prioriteren, actieve bevestiging om bedreigingen te valideren en geautomatiseerd herstel om snel te kunnen reageren.