Ivanti-lek gaf hackers toegang tot personeelsdata Dienst Justitiële Inrichtingen

Ook de Dienst Justitiële Inrichtingen is getroffen door een datalek. Hackers zouden daarbij gegevens van medewerkers hebben gestolen. Ook kunnen onbevoegden mogelijk de mobiele apparaten op afstand bedienen.

De oorzaak ligt bij een actief misbruikte kwetsbaarheid in Ivanti-securitysoftware, CVE-2026-1281. Daardoor hadden aanvallers ten minste vijf maanden toegang tot de Ivanti Endpoint Manager-server van de Dienst Justitiële Inrichtingen, blijkt uit onderzoek van Argos. Van daaruit hadden ze toegang tot een database met personeelsgegevens van medewerkers. Het gaat om hun zakelijke telefoonnummers en e-mailadressen en om (beveiligings)certificaten. Het is volgens Argos nog onduidelijk of ook locatiegegevens zichtbaar waren. Die worden normaal gesproken wel opgeslagen in deze database.

Ivanti EPMM wordt door de DJI en veel andere (overheids)organisaties gebruikt voor het beheer van hun zakelijke mobiele telefoons. Zo is het mogelijk om op afstand apparaten te wissen en updates uit te voeren. Het Nationaal Cyber Security Centrum waarschuwde eerder deze maand al dat de kwetsbaarheid het mogelijk maakt om 'data te stelen of controle over het systeem te verkrijgen'. Eerder werd al bekend dat er door de kwetsbaarheid in Ivanti ook gegevens zijn gestolen van de Nationale Rechtspraak en van de Autoriteit Persoonsgegevens.

Hoewel er inmiddels een patch beschikbaar is voor de kwetsbaarheid, helpt dat volgens het NCSC niet volledig tegen systemen die al zijn gecompromitteerd. "De actoren kunnen namelijk een achterdeur op het systeem hebben geplaatst." Het is daardoor mogelijk dat de onbevoegden nog steeds toegang hebben tot de server. Dat kan volgens het NCSC alleen worden verholpen door het systeem volledig te resetten.

Ivanti EPMM

Reacties (70)

[Hawkysoft]

"Dat kan volgens het NCSC alleen worden verholpen door het systeem volledig te resetten."

Zolang ze niks hebben kunnen wegschrijven op bepaalde plaatsen wat opnieuw wordt geladen.. denk bijv. aan bootsector. Misschien ver gedacht, maar mensen die dit soort hacks uitvoeren zijn wss niet de daily scriptkids. En beter voorkomen dan genezen, aangezien het remote code execution was en het hier wel om de veiligheid gaat van zowel nieuw als bestaand personeel..

Ten minste 5 maanden,,, late update naar 12.5.0.0? Want die was gereleased in april 2025

[krakendmodem]

NCSC - Casus: kwetsbaarheden Ivanti EPMM systemen

Op 29 januari 2026 heeft Ivanti twee kritieke kwetsbaarheden (CVE-2026-1281 en CVE-2026-1340) verholpen in Ivanti Endpoint Manager Mobile (EPMM) en hiervoor patches beschikbaar gesteld. 

• De eerste signalen van misbruik die bij het NCSC bekend werden, gingen over misbruik dat op 28 januari 2026 heeft plaatsgevonden. Het is onduidelijk of dit misbruik succesvol was.
• Verder onderzoek wijst uit dat succesvol misbruik bij meerdere organisaties op 29 januari heeft plaatsgevonden. 
• Tijdens forensisch onderzoek in februari 2026 is gebleken dat de kwetsbaarheden in Ivanti EPMM op een vergelijkbare manier in augustus 2025 al succesvol zijn misbruikt. De Duitse BSI (Federal Office for Information Security) beschrijft in een publicatie dat het indicaties heeft ontvangen die misbruik in augustus 2025 onderschrijven. 

De patch is er nu nog maar 1 maand. Het onderzoek is pas in februari gedaan. Dus het lek zat er in april 2025 ook gewoon in

[Hawkysoft]

Waar reageer je nu eigenlijk precies op, want volgens mij begrijp je niet echt wat ik heb geschreven?

[krakendmodem]

Ik denk dat ik dan April 2025 niet begrijp.

[Triblade_8472]

Je zou bijna zeggen dat het een goed idee zou zijn om in Nederland, of de EU, een veilig eigen alternatief te ontwikkelen. Volledig open source en zeer regelmatig gechecked door auditors.

Dat èn minder zaken aan elkaar knopen en via het web toegankelijk hebben. Ja, dan lever je in op gemak, is dat erg?

[Danfoss]

open source en gechecked door auditors zegt niet zo heel veel. De .xz hack is daar een goed voorbeeld van Wikipedia: XZ Utils backdoor

[MeNTaL_TO]

Of voor mensen die liever een YT er over willen kijken
YouTube: The Internet Was Weeks Away From Disaster and No One Knew

[xzaz]

Niet de sterkste video. Ze maken een video over iets wat niet gebeurd is.

[GeleKoplamp]

Wat net op tijd is ontdekt. Maar denk inderdaad dat als dit wel was gebeurd, de video nog veel sterker was geweest

[SunnieNL]

Het internet is continue op 5 voor 12 voor een disaster terwijl niemand er iets van af weet.

[Rolfie]

Daar hebben we ook weer YT filmpjes: YouTube: Denkfout: De preventie-paradox

[Klauwhamer]

Aansluitend hier op: het is ook niet voor niets dat supply chain "features" opgenomen zijn in de OWASP-10 voor 2025.

[Sp3ci3s8472]

Die hack had een langdurige opzet van 2.5 jaar; met een groot deel van die tijd besteed aan social engineering.

Juist doordat het opensource is is het gevonden en koste het ze zoveel moeite en werk om de code en hack te verstoppen.

[hottestbrain]

XZ is juist dankzij het feit dat het open source is niet breed ge-exploit.

[Rolfie]

Volgens mij was het gedetecteerd door iemand die met gelukt iets vreemds ontdekte.

Niet door zo maar de code door te nemen

[hottestbrain]

Klopt, maar zo gaat dat met de meeste 'bugs'. Het voordeel zit er in dat deze microsft-medewerker zelfstandig door kon graven nav de hoge latency die hij constateerde in pre-release software en vervolgens vrij snel alarmbellen af kon laten gaan.

[Triblade_8472]

Natuurlijk zegt het veel. Niet checken is altijd erger.

[Luchtbakker]

Ivanti heeft een leger aan devs en hackers in dienst dat dag in dag uit op zoek is naar lekken als deze. En jij denkt dat wijzelf hetzelfde kunnen bouwen met minder risico's?

[xavierk]

Heb je daar een bron bij? Ivanti heeft na overname door private equity juist veel security experts ontslagen en sinds 2021 plukken ze daar de wrange vruchten van:

https://techcrunch.com/2026/02/23/vpn-flaws-allowed-chinese-hackers-to-compromise-dozens-of-ivanti-customers-says-report/

The previously unreported breach is the latest example of how acquisitions, layoffs, and cost-cutting driven by private equity firms helped to compromise the quality and security of Ivanti’s most critical technologies. After private investment giant Clearlake Capital Group acquired Ivanti in 2017, Bloomberg reported rounds of cuts — particularly in 2022 — affecting employees who had deep institutional knowledge of the company’s products and their security.

[SunnieNL]

Je bron is niet up-to-date gezien Bloomberg het artikel heeft aangepast. Gezien ik zelf bij Ivanti werk kan ik er niet zo veel over naar buiten brengen (normaal geef ik ook geen reactie op artikelen waar mijn werkgever zelf in voor komt). Maar meer over onze respons kun je vinden in de update bij Bloomberg: netwerk Pulse Secure gehackt via kwetsbaarheid in eigen vpn-software - update - Security.NL of de originele bron, het Bloomberg artikel.

Mocht Tweakers vragen hebben, dan weten ze mij te vinden en kan ik ze doorzetten naar onze woordvoerders.

[Reactie gewijzigd door SunnieNL op 27 februari 2026 11:53]

[xavierk]

Vreemd om te doen alsof de bron niet up-to-date is vanwege de aanpassing in het Bloomberg artikel als de enige aanpassing die Bloomberg noemt is:

(Adds Ivanti's post-publication comment in the 42nd paragraph and more context in paragraphs 39-41.)

Die Ivanti comments draaien om de hete brei heen. De statement van Ivanti dat "Pulse Secure en Ivanti nooit Connect Secure-software hebben geleverd met een kwaadaardige backdoor die klanten en gebruikers kunnen schaden".

Mooi, maar het Bloomberg artikel gaat om: "hackers had exploited preexisting vulnerabilities in the [Pulse Secure's California] data center’s Pulse-made VPN software to install a “back door” — malicious code that allows intruders to enter protected computer systems" - het Pulse Secure data center zelf was dus gecompromitteerd via de eigen kwetsbare Pulse VPN software en daar werd een backdoor geplaatst.

Er wordt niet ingegaan op de ontslagen van cybersecurity medewerkers na overname door private equity en ook niet op dit deel van het artikel:

Richards and another employee involved in the response say that Ivanti ultimately determined that 119 organizations were compromised — a number that has not been previously reported. This was the first of at least three major hacks of the Connect Secure products since 2020.

[drmacfaulty]

Ik prijs oprecht je loyaliteit, want ik was er allang weggegaan. Laat staan dat ik nog een (helaas weinigzeggende) reactie zou geven.

Ik ken genoeg bedrijven (1ste hand info) die ook Pulse Secure gebruikten (en hebben de overname ook meegemaakt naar Ivanti) en ze zijn blij dat ze er vanaf konden na verlopen contract. Wat een pakket… Support outsourced en om te huilen… Dan om de haverklap kwetsbaarheden in de VPN. Meerderheid was bijna meer tijd kwijt aan vulnerability management dan er gebruik van maken. Nooit weer ook maar iets van Ivanti zal bij die jongens over de drempel komen. Nee, een veilige VPN moet je niet bij Ivanti zoeken.

[Mosterd]

Aandeelhouders moeten ook wat verdienen

[Triblade_8472]

Zeker. Ik geloof er weinig van dat ze de eigen code van voor naar achter vaak genoeg controleren. Laat staan obscure libraries. Al dan niet 3e partij libraries.

[walteij]

Maar wat je nu noemt is niet opgelost met een Europees alternatief ;-)

[Triblade_8472]

Wel door de betere/strengere regulering. Laat staan mentaliteit.

[walteij]

Papieren tijgers bestrijdt je met riskletters.
Tenminste, dat is mijn ervaring in de laatste jaren. De Rutte doctrine van verantwoordelijkheid wegmanagen en geen beslissingen nemen, zodat het carrierepad van de manager er niet onder lijdt.

[Llopigat]

In elk geval is het risico van dwang door de Amerikaanse staat dan natuurlijk verdwenen (een geheime National Security Letter bijvoorbeeld.

Dat had in dit geval niet uitgemaakt maar gezien onze wankele relatie met Amerika is dat zeker een mogelijkheid.

En security experts hebben we in Europa ook gewoon.

[GertMenkel]

Of er nou een kwetsbaarheid zit in een Europees asset-managementsysteem of een Amerikaanse asset-managementsysteem maakt niet zoveel uit, de kwetsbaarheid blijft erin zitten. Open source is mooi (en publieke investeringen zouden ook open source moeten zijn, vind ik) maar biedt weinig extra vrijwaring tegen bugs.

[Donstil]

Je zou bijna zeggen dat het een goed idee zou zijn om in Nederland, of de EU, een veilig eigen alternatief te ontwikkelen. Volledig open source en zeer regelmatig gechecked door auditors.

Nou he, dan zou het magisch ineens allemaal opgelost zijn. Want in een Eu alternatief gaat natuurlijk geen kwetsbaarheden zitten

[kr4t0s]

In open source zitten ook genoeg kwetsbaarheden soms tientallen jaren lang.

[mjl]

Home-brew wil niet zeggen dat het veiliger is. Ook daar zullen bugs in zitten die misbruikt zullen worden. Dus zelf dingen maken is echt niet beter dan commercial off the shelf.

[Xilonz]

Misschien denk ik als buitenstaander te simpel, maar waarom word er niet door bedrijven/organisaties meer gebruik gemaakt van vpns of vergelijkbare oplossingen. Dat geeft je 1 centrale plek om alle toegang van buitenaf te controleren.

Al die verschillende software lekker open op het internet gooien is toch vragen om dit soort problemen?

[barbarbar]

vpn's zijn ook regelmatig in het nieuws (geweest) met bugs waardoor ingelogd kon worden. Meest bekend was denk ik wel de overflow in openssl, waardoor je alle admin sessies zo kun uitlezen. Een vpn is in dat opzicht niks veiliger dan een single-sign on systeem.

[Pasteis]

Misschien denk ik als buitenstaander te simpel, maar waarom word er niet door bedrijven/organisaties meer gebruik gemaakt van vpns of vergelijkbare oplossingen. Dat geeft je 1 centrale plek om alle toegang van buitenaf te controleren.

Al die verschillende software lekker open op het internet gooien is toch vragen om dit soort problemen?

Dat lijkt mij ook een goede stap te zijn. Maar ook binnen het eigen netwerk moet informatie gewoon veel beter beveiligd worden. Persoonsgegevens misschien encrypten? Exports beperken of met een multifactor of 4-ogen principe beveiligen? Of minstens en deel ervan? En bij gebruik altijd decrypten?

Oke, het zal niet de meest snelste manier zijn, maar wel veiliger dan plain text. En een extra hobbel zijn om gevoelige data bloot te stellen.

[xavierk]

Ivanti is juist via een lek in hun VPN software Pulse "Secure" in 2021 ook al gecompromitteerd, met 119 andere organisaties die gebruikmaakten van Ivanti's VPN. Dat hebben ze vervolgens 5 jaar lang stilgehouden:

https://techcrunch.com/2026/02/23/vpn-flaws-allowed-chinese-hackers-to-compromise-dozens-of-ivanti-customers-says-report/

In February 2021, software giant Ivanti discovered that Chinese hackers had breached the network of Pulse Secure, one of its subsidiaries that provided VPN appliances to dozens of companies and government agencies around the world, according to new reporting by Bloomberg.

The hackers exploited preexisting vulnerabilities in Pulse Secure’s VPN software to plant a backdoor, Bloomberg reported, citing Ivanti’s chief security officer at the time and other sources. The backdoor allowed the hackers to gain access to 119 other unnamed organizations that used the company’s same VPN product.

[Blokker_1999]

Met deze tool beheer je net je apparaten. Het is een gecentraliseerd platform van waaruit je bijvoorbeeld je policies kunt beheren, configuratie kunt doorsturen of applicaties kunt installeren. En als je dat kan, dan kan je dus bijvoorbeeld een kleine aanpassing aan apparaten maken waarmee die apparaten zelf naar huis gaan bellen om zo een toegangspoort te maken voor de aanvaller om in je netwerk in te breken.

Dat maakt opsporen en tegenhouden enorm moelijk. Niet onmogelijk, maar wel moeilijk.

En omdat deze tool ook in staat moet zijn om mobiele apparaten zoals iPhones en Android telefoons te beheren, moet de tool zelf dus wel op het internet kunnen draaien, want die mobiele apparaten moeten weer in contact kunnen komen met deze tool.

[vuilputje]

Aanbieders van publieke VPN-software opereren vanuit juridisch wonderlijke locaties. Ik begrijp nog steeds niet goed waarom daar zoveel vertrouwen in is. Bruce had daar een mooi stukje over een paar jaar geleden: https://www.schneier.com/blog/archives/2021/06/vpns-and-trust.html

Ik heb zelfs al eens met de inspector van de browser gezien dat NordVPN gewoon javascript-meuk toevoegt. Het is vast voor de "verrijking van de websurf-ervaring", maar ik vertrouw het voor geen meter.

Natuurlijk met uitzondering van the-good-guys :)

[CivLord]

Een VPN houdt reguliere gebruikers die op de reguliere wijze inloggen niet tegen. Dus wordt een hacker die de inlogggegevens van een reguliere gebruiker heeft gekaapt ook niet tegen gehouden. Je zal dus ook de systemen achter de VPN moeten beveiligen.

Afhankelijk van je VPN is het moeilijker of makkelijker, maar je moet er niet van uit gaan dat je achter een VPN veilig zit. Het is natuurlijk makkelijk dat je met een VPN maar één poort naar buiten hoeft te verdedigen. Maar ik zie het grote voordeel van VPN vooral in het feit dat alle internetverkeer versleuteld is. Daardoor kan iemand via een gecompromitteerde hotspot in een koffiebar werken, zonder dat de veiligheid in het geding komt. (Op enkele specifieke uitzonderingen na, is mij verteld.)

[Asitis]

"Zero trust architecture" krijgt zo wel een nieuwe betekenis

[eheijnen]

Het internet: een vloek en een zegen in één ! ....

[MrXzombie]

Elke bewaarder die ook klant was/is bij Odido mag elke avond wel even controleren of de deuren goed op slot zitten. Je zou maar net iets hebben gedaan wat een crimineel niet leuk vind, die weet nu meteen waar je huis woont en op basis van adres ook meteen wie je partner en kinderen zijn.

[moimeme]

Ja, daar moest ik ook meteen aan denken. Als er een beroep is wat je niet will dat je klanten iets prive van jou weten da's wel cipier. Er zullen nu wel op zijn minst honderden mensen in een moelijk situatie zijn, ik voel mee.

[Lord Anubis]

Als je weet dat de hack er is; waarom wachten met het systeem te resetten. Of nauwkeurig door lopen op deze backdoor’s, een week geen of beperkte toegang is beter dan de data in gevaar laten met wederom dat er info op straat ligt of komt te liggen.

[CuBras]

Helaas zijn dit belangen van bedrijven/managers/directeuren/klanten...

In de always-online wereld van tegenwoordig is er gelijk paniek als "een dienst" het niet meer doet.
Wat volgt is een shitstorm aan vergaderingen waarin iemand op het matje wordt geroepen want de dienstverlening komt in gevaar..
Money always wins ..

/r.

[Sebas1979]

Waarom denk je dat dat bij DJI, RvdR en AP niet gebeurd is?

[CivLord]

Dit systeem wordt in gevangenissen ook gebruikt voor interne communicatiemiddelen.
Een week geen interne communicatie in een gevangenis betekent dat je een week een gevangenis moet sluiten.
Omdat dit systeem voor alle gevangenissen gebruikt wordt, kan je je voorstellen dat dat een probleem is.

[marcelvb]

Worden we nu eigenlijk wel veiliger van dit soort control-freakerige security oplossingen die heel erg diep in je OS en devices geïntegreerd zijn en alle toegang centraliseren? Je probeert een probleem op te lossen, maar je krijgt er andere problemen voor terug.

Als ik "zero trust architecture" zie, dan snap ik daar eigenlijk ook niks van. Je hebt zero trust in je personeel? Of in je telefoons? Of in je telefoon OS? Of je moet je security leverancier niet vertrouwen?

[krakendmodem]

Wat nou als je personeel een telefoon kwijtraakt (of gejat). Dan maar geen beveiliging op de apparatuur? Hoe wil je die devices dan managen? Dat is wat dit systeem doet.

[marcelvb]

Alles is toch tegenwoordig een website? Of een web api met een client app? Zolang je niet ingelogd bent, staat er toch niks op een telefoon? Het enige zijn je 2FA apps (helaas). Je prive-telefoon is toch ook niet beveiligd?

[krakendmodem]

De zakelijke telefoons die ik in het verleden kon beheren hadden allemaal gewoon een e-mail app, app voor Teams, Signal (of whatsapp). Af en toe zal er ook wel iemand een foto maken, SMS ontvangen e.d. Staat dus genoeg informatie op.

Een prive telefoon is vaak via Apple of Google nog wel enigszins te traceren en te wissen. (geldt ook een beetje voor zakelijke MDM oplossingen). Je toestel moet wel wifi/4G op dat moment hebben. (vaak kun je wifi of 4G niet eens uitschakelen als je toestel gelocked is, puur vanwege traceren en diefstal).

En dat geldt ook voor de laptops. Zelfde concept. Al gaan de meeste mensen bij DJI via citrix op de werkplek inloggen en wordt er in dat opzicht op de laptop zelf (naast teams/webex) weinig lokaal uitgevoerd)

[locke960]

Dit was volkomen voorspelbaar, net als de Solarwinds hack van een paar jaar geleden.

We wilden meer controle en zekerheid over onze IT systemen en dus zijn we alomvattende systemen als Solarwinds en Ivanti gaan gebruiken.

• Centrale management systemen met agents op letterlijk alle andere systemen.
• Meestal met systeembeheer rechten.
• Communicatie niet gehinderd door firewalls, want het management systeem moet met de agents kunnen communiceren.
• En vaak ook nog vrije communicatie met het internet, want je koopt geen software, maar een dienst waarvan het management systeem zich in "de cloud" bevind.
• En natuurlijk een automatisch client-update mechanisme.

Oftewel alle compartimentalisatie opgeheven, en dan zijn we verbaast dat het fout gaat.

[Linux_Aries]

De beste oplossing is: Alles op papier doen en weg met het Internet .

[fc Wu Utd]

En dan jouw reactie moeten missen? Dat nooit! ;)

[Dutchzilla]

Kan gewoon een brief schrijven aan jou.

[kujinshi]

Dan gaat de snelheid uit de maatschappij en is nieuws weer iets van dagen geworden.

[fc Wu Utd]

Wel graag rustig schrijven. Ik ben geen snelle lezer.

[jongetje]

Je kunt ook je systemen niet met internet koppelen...

[Linux_Aries]

[Baardmeester]

Gaat een beetje lastig met een MDM systeem zoals Ivanti EPMM.

[Grimm]

Misschien moeten we maar eens stoppen om belangrijke zaken aan een netwerk te knopen.
Desnoods weer terug naar pen en papier of een ouderwetse typemachine.
Het lijkt wel schering en inslag met data breaches overal.
Of zeg ik nu wat geks...