Bij ongeveer 60% van de inbreuken was er al een patch beschikbaar toen aanvallers binnendrongen. Die bevinding komt uit het rapport van J.P. Morgan van juli 2026, “Patchmageddon,” en daardoor verschuift de vraag van óf er een oplossing bestaat naar hoe lang het duurt om die uit te rollen.
Dat venster wordt snel kleiner. Hetzelfde rapport beschrijft AI-tools die een nieuw uitgebrachte patch kunnen reverse-engineeren en die binnen enkele minuten kunnen omzetten in een werkende exploit. Elke dag dat een beschikbare patch niet wordt uitgerold, is een dag waarop aanvallers die kunnen misbruiken.
Voor apps van derden die worden beheerd in Microsoft Intune, gaan veel van die dagen op aan packaging. IT-teams downloaden het installatieprogramma, bouwen het pakket, schrijven detectieregels, testen en wijzen het toe, en herhalen dat vervolgens voor elke app en elke release. Het resultaat is vertraagd patchen waar niemand op had gerekend.
Zo snel wordt het tijdsvenster voor misbruik kleiner, waar Intune-appverpakking voor vertraging zorgt en wat nodig is om dat gat te dichten.
Hoe snel aanvallers nieuwe kwetsbaarheden nu misbruiken
Het misbruiken van kwetsbaarheden is nu de meest voorkomende manier waarop aanvallers binnenkomen. Volgens het 2026 Verizon Data Breach Investigations Report was uitbuiting goed voor 31% van de initiële toegang bij datalekken, tegenover 20% een jaar eerder.
Veel van die aanvallen beginnen meteen. Meer dan een kwart van de kwetsbaarheden die in de eerste helft van 2026 nieuw als uitgebuit werden vermeld, werd volgens de Zero Day Clock al aangevallen op de dag dat ze openbaar werden.
Patchbeheer is niet meegegroeid. Verizon stelde vast dat organisaties een mediane tijd van 43 dagen nodig hadden om bekende uitgebuite kwetsbaarheden volledig te verhelpen, een stijging ten opzichte van 32 dagen, en dat slechts ongeveer een kwart ervan überhaupt volledig werd verholpen.
Oude kwetsbaarheden blijven ook een rol spelen. In één week eind augustus 2026 was de kwetsbaarheid waar aanvallers het meestal op gemunt hadden al vier jaar openbaar, volgens de Zero Day Clock.
Een patchcyclus van weken laat apps van derden blootgesteld tijdens de meest risicovolle periode. Een update die nooit wordt uitgebracht, laat ze jarenlang blootgesteld.
Waarom beschikbare patches niet worden toegepast
Als de patches bestaan, waarom worden er dan zoveel niet geïmplementeerd? Volgens TuxCare’s 2026 Open Source Landscape Report had 61% van de beveiligingsincidenten onder enterprise open source-gebruikers te maken met patches die beschikbaar waren, maar nooit zijn toegepast. Beperkingen door downtime waren de meest voorkomende reden voor vertragingen, genoemd door 43% van de respondenten.
Dat onderzoek richtte zich op open source-omgevingen, maar dezelfde oorzaken duiken overal op waar IT-teams updates uitrollen:
Angst om iets kapot te maken. Een update die een bedrijfskritische app verstoort of een ongeplande herstart afdwingt, wordt zelf een incident. Als er niet is getest, voelt wachten veiliger dan uitrollen.
Te weinig mensen met de juiste vaardigheden. Voor het correct verpakken van een Win32-app is specialistische kennis nodig. Als die kennis bij één of twee mensen zit, moet elke update wachten tot zij beschikbaar zijn.
Elke update is een project op zich. Externe leveranciers brengen releases uit volgens hun eigen planning, en elke release heeft dezelfde voorbereiding nodig voordat die kan worden uitgerold. Het werk laat zich zelden netjes bundelen, dus de wachtrij groeit sneller dan die slinkt.
Geen bewijs dat patches zijn uitgerold. Zonder bevestiging op apparaatniveau kan IT niet zien op welke endpoints nog steeds de kwetsbare versie draait, en hiaten blijven onopgemerkt totdat iemand ernaar op zoek gaat.
Waar Intune appverpakking het patchen van apps van derden vertraagt
Hoewel Intune goed omgaat met updates voor Windows en Microsoft 365, zijn apps van derden lastiger te beheren. Microsoft’s Enterprise App Management helpt daarbij door een catalogus aan te bieden met voorbereide Microsoft- en niet-Microsoft-Windows-apps die Intune up-to-date kan houden. De catalogus bevat echter alleen apps die Microsoft heeft voorbereid, en Microsoft geeft geen garantie dat een aangevraagde app wordt toegevoegd.
Apps buiten de catalogus, aangepaste en interne apps, en tenants zonder Enterprise App Management gaan nog steeds via het standaard Win32-proces.
Voor elke nieuwe release ziet dat proces er meestal zo uit:
Download het installatieprogramma van de leverancier en controleer of het de juiste versie en architectuur is.
Zoek de opdrachten voor stille installatie en de-installatie. Intune vereist dat Win32-apps zonder gebruikersinteractie worden geïnstalleerd, dus iemand moet uitzoeken welke switches elk installatieprogramma ondersteunt.
Verpak het installatiebestand als een .intunewin-bestand met behulp van de Microsoft Win32 Content Prep Tool.
Schrijf detectieregels zodat Intune kan bevestigen dat de app correct is geïnstalleerd.
Configureer supersedence zodat de nieuwe versie de oude vervangt.
Test het pakket op een reserveapparaat of virtuele machine voordat het gebruikers bereikt.
Wijs de app toe aan de juiste groepen.
Controleer de uitrol en los problemen op met apparaten waarvoor dit is mislukt.
Dan brengt de leverancier weer een update uit, en begint de cyclus opnieuw. Vermenigvuldig die stappen met elke app van derden in de omgeving, en met elke release die daarvan wordt uitgebracht, en de implementatie van Intune Win32-apps wordt een structurele achterstand. Die achterstand is waar ‘beschikbaar’ verandert in weken.
Wat een sneller patchproces van derden nodig heeft
Het rapport van J.P. Morgan beveelt organisaties aan de nieuwste softwareversies te gebruiken en hun tijdlijnen voor het testen en uitrollen van patches te verkorten. Voor apps van derden in Intune komt dat neer op een paar operationele vereisten:
Een actuele inventaris van apps van derden. Elke beslissing over patchbeheer begint met weten welke apps en versies op welke apparaten draaien.
Vertrouwde, geverifieerde installatiebronnen. Installatiebestanden ophalen uit gecontroleerde bronnen verkleint het risico dat je een gemanipuleerd of kwaadaardig pakket uitrolt.
Geautomatiseerde packaging. Opdrachten voor stille installatie en deïnstallatie, detectieregels en supersedence moeten voor elke release automatisch worden gegenereerd, zonder handgeschreven scripts.
Automatische detectie van nieuwe versies. Wanneer een leverancier een update uitbrengt, moet het nieuwe pakket worden gebouwd zonder te wachten tot iemand de release opmerkt.
Geautomatiseerd testen en beveiligingsscans vóór implementatie. Elke build op een schone machine testen neemt een van de belangrijkste redenen weg waarom teams updates uitstellen.
Gefaseerde uitrol. Door eerst bij een pilotgroep uit te rollen, beperk je de impact als een update toch problemen veroorzaakt.
Controle voor eindgebruikers. Uitstelopties, herstartmeldingen en respijtperiodes zorgen ervoor dat updates kunnen worden uitgerold zonder iemand midden in een taak te onderbreken.
Implementatiestatus en auditinzage. Rapportage per apparaat bevestigt dat elke patch daadwerkelijk is toegepast en laat een registratie achter voor audits.
Vragen om je patchvenster voor apps van derden te meten
Voordat je tools of processen verandert, is het handig om te weten waar je team vandaag staat. Deze vragen laten zien hoe groot je blootstellingsvenster echt is:
Hoeveel dagen verstrijken er tussen een release van een leverancier en de toewijzing in Intune voor je top 10 apps van derden? Dit aantal is je werkelijke patchvenster, en het is vaak langer dan teams verwachten.
Hoeveel mensen in je team kunnen een Win32-app correct packagen? Als het antwoord één of twee is, hangt elke update af van hun beschikbaarheid.
Wanneer heb je voor het laatst een update uitgesteld omdat het testen nog niet was afgerond? Regelmatige vertragingen wijzen op een knelpunt in het testen, niet in de planning.
Kun je aantonen dat een patch elk apparaat heeft bereikt? Zonder bevestiging per apparaat kan een update die voltooid lijkt endpoints toch nog blootgesteld achterlaten.
Hoe agentic packaging de weg van release naar implementatie verkort
Het rapport van J.P. Morgan wijst op iets wat je gemakkelijk over het hoofd ziet tussen alle waarschuwingen: dezelfde AI-tools die worden gebruikt om kwetsbaarheden te vinden en misbruiken, kunnen ook helpen om ze te verhelpen. Agentic packaging past dat idee toe op het traagste deel van patching van derden.
In een agentische verpakkingsworkflow nemen AI-agents de repetitieve stappen van Intune-appverpakking op zich. Ze lezen het installatiebestand, bepalen de opdrachten voor stille installatie en deïnstallatie, bouwen het pakket en genereren de detectielogica. Elke build wordt vervolgens getest op een schone machine en de resultaten gaan naar een beheerder voor controle voordat er iets in Intune wordt gepubliceerd.
Bekijk agentic packaging in actie op 21 oktober
Een patch die al bestaat, is alleen zo nuttig als de tijd die nodig is om elk apparaat te bereiken. Voor apps van derden in Intune gaat een groot deel van die tijd op aan packaging.
Agentic packaging neemt het repetitieve werk uit handen bij elke release, zodat nieuwe versies zonder in een wachtrij te blijven hangen door tests en een gefaseerde uitrol kunnen gaan.
Splashtop organiseert op 21 oktober om 8.00 uur PT / 11.00 uur ET een webinar van 30 minuten, “Van handmatige naar agentische packaging: app-implementatie vereenvoudigen met Microsoft Intune”. Microsoft MVP Maxime Guillemin en Splashtop Head of Product Brandon Shopp laten zien hoe AI en agentische workflows de packaging-inspanning en fouten verminderen, inclusief een blik op agentische packaging in actie.
