Security bij telefonie: patches, CVE’s en advisories
Telefonie is ook IT. Dus ook patchen.
SBC’s, telefooncentrales, toestellen, vergaderapparatuur en contactcenterplatforms krijgen regelmatig beveiligingsupdates. In de praktijk vallen ze vaak tussen wal en schip: IT kijkt naar laptops en servers, de telefonieleverancier naar storingen.
Een kwetsbaarheid in je telefonie kan leiden tot afluisteren, misbruik van je lijnen of toegang tot je netwerk.
Het gebeurt vaker dan je denkt.
| Product | Wat er speelde | Getroffen versies | Oplossing en officiële bron |
|---|---|---|---|
| Cisco Unified CMCVE-2026-20045, januari 2026 | Kritiek: zonder inlog commando’s uitvoeren. Dezelfde dag op de CISA-lijst van actief misbruikte kwetsbaarheden. | Unified CM (ook SME en IM&P), Unity Connection en Webex Calling Dedicated Instance, release 12.5, 14 en 15. | 14SU5, 15SU4 of de patch. Release 12.5: overstappen. Advisory van Cisco |
| HP Poly VVX en TrioCVE-2026-0826, juni 2026 | Kritiek: code uitvoeren op afstand, als ICE aan staat. | VVX onder 6.4.8, Trio 8300 onder 8.1.7, Trio 8500 en 8800 onder 7.2.8. | Firmware bijwerken naar die versies of hoger. Bulletin van HP |
| AudioCodes Mediant SBCCVE-2024-52884, februari 2025 | Hoog: wachtwoorden in een configuratie-export zijn te ontsleutelen. | Versies onder 7.40A.501.841. | Bijwerken, en let op wie exports en back-ups kan inzien. CVE-2024-52884 in de NVD en het advisory van de onderzoekers (SySS) |
| FreePBXCVE-2025-57819, augustus 2025 | Kritiek: zonder inlog toegang tot de beheeromgeving. Een dag later op de CISA-lijst. | Endpoint-module in FreePBX 15, 16 en 17. | Endpoint 15.0.66, 16.0.89 of 17.0.3. Advisory van FreePBX |
En in 2023 zat er malware in de officiële app van 3CX. Klanten kregen die binnen via een gewone update. 3CX was zelf gehackt via software van een andere leverancier (CVE-2023-29059): een aanval via de keten.
Bronnen: CISA-lijst van actief misbruikte kwetsbaarheden, CISA over 3CX. Gecontroleerd op 3 november 2026.
Vijf zwakke plekken.
- StandaardwachtwoordenBeheeraccounts die nog op het wachtwoord uit de doos staan.
- Beheer open op internetDe beheeromgeving van een SBC of centrale is van buitenaf bereikbaar.
- Oude firmwareUpdates die er wel zijn, maar nooit zijn geïnstalleerd.
- Apparaten zonder ondersteuningTeams-toestellen op Android 9 worden sinds 5 augustus 2025 niet meer ondersteund. Voor Android 10 en 11 stopt de ondersteuning op 3 september 2027.
- BelfraudeInbrekers bellen via je centrale naar dure buitenlandse nummers. Jij betaalt de rekening.
Bronnen: Microsoft Learn: Android-versies voor Teams-apparaten. Gecontroleerd op 3 november 2026.
De Cyberbeveiligingswet geldt sinds 15 augustus 2026.
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van NIS2. De wet geldt niet voor iedereen: alleen voor organisaties in de aangewezen sectoren die groot genoeg zijn. Dat is vanaf 50 fte, of een jaaromzet én balanstotaal boven 10 miljoen euro. Sommige organisaties vallen er altijd onder, zoals telecomaanbieders en overheden.
Val je eronder, dan registreer je je bij het NCSC, neem je passende maatregelen en meld je ernstige incidenten. Beveiliging van de keten hoort daarbij, en daarmee ook je telefonie en de leveranciers die die beheren. Of je eronder valt, toets je zelf. De zelfevaluatie van de RDI helpt daarbij.
Ook je intercom, toegangscontrole en liftnoodtelefoon. Die hangen steeds vaker aan je netwerk, en Europa stelt er eisen aan. Sinds 1 augustus 2025 moeten nieuwe draadloze apparaten met een internetverbinding voldoen aan de cybereisen van de Radio Equipment Directive. Onder de Cyber Resilience Act moeten fabrikanten sinds 11 september 2026 actief misbruikte kwetsbaarheden en ernstige incidenten melden. Vanaf 11 december 2027 gelden de volledige eisen, zoals beveiligingsupdates tijdens de ondersteuningsperiode. Dan vervangt de CRA de cybereisen uit de Radio Equipment Directive.
Vraag bij aanschaf dus hoe lang de fabrikant updates levert, en zet ook deze apparaten op je lijst.
Bronnen: Cyberbeveiligingsbesluit, Stb. 2026, 189, NCSC: registratieplicht, CRA-meldplicht (Europese Commissie). Gecontroleerd op 3 november 2026.
Vijf afspraken voor security-opvolging.
- OverzichtWeet welke SBC’s, centrales, toestellen, intercoms en platforms je hebt, met versie en leverancier.
- EigenaarSpreek af wie de advisories volgt en wie patcht: jij, je IT-partner of je leverancier.
- BronnenVolg de securitypagina’s van je leveranciers, de lijst van actief misbruikte kwetsbaarheden van CISA en de adviezen van het NCSC.
- RitmeElke maand controleren. Bij een kwetsbaarheid die actief misbruikt wordt binnen een paar dagen.
- LevenscyclusVervang apparaten voordat de ondersteuning stopt.
De checklist als pdf.
Zeven vragen om mee te nemen naar je overleg of door te sturen naar een collega. Vul je naam en e-mailadres in, dan opent de pdf direct.
We gebruiken je gegevens alleen om je de checklist te geven en hooguit één keer te vragen of hij heeft geholpen. Lees meer in onze privacyverklaring.
Wij kijken waar het risico zit.
We brengen in kaart welke telefonie en UC je hebt, wie het bijhoudt en waar het risico zit. Onafhankelijk, en we begeleiden je ook bij de opvolging en het beheer.