Het is een doordeweekse ochtend. Je collega opent haar MacBook, zet een kop koffie en begint aan haar dag. Ze werkt aan offertes, klantdata, misschien een financieel rapport. Ondertussen staat er ergens op de achtergrond een beveiligingslek open waar een aanvaller, zonder wachtwoord en zonder fysieke toegang, volledig gebruik van kan maken. Herken je dit scenario als iets wat 'bij anderen' speelt?

Dan is dit bericht voor jou.

Wat is er aan de hand met macOS?

Het Nationaal Cyber Security Centrum (NCSC) heeft medio september 2026 een dringend beveiligingsadvies gepubliceerd over meerdere kwetsbaarheden in Apple macOS. De ernst van deze kwetsbaarheden is beoordeeld met een CVSS-score van maar liefst 9,8 op een schaal van 10. Dat is kritiek, niet hoog, niet ernstig, maar kritiek. Een aanvaller kan bij succesvol misbruik volledige controle overnemen over een MacBook of iMac, zonder dat hij of zij fysiek in de buurt hoeft te zijn.

De kwetsbare versies zijn macOS Golden Gate 27, macOS Sequoia 15.8 en macOS Tahoe 26.7. Apple heeft direct patches uitgebracht na ontdekking. Het goede nieuws: de update is er. Het risico: veel MKB-organisaties in Brabant hebben die update nog niet geïnstalleerd.

Waarom dit voor jouw bedrijf urgenter is dan je denkt

Grote bedrijven hebben een IT-afdeling die binnen het uur reageert op een NCSC-advies. Jij hebt daar misschien niemand voor. Of je hebt een IT-contactpersoon die ook tien andere dingen doet. En ondertussen draaien die MacBooks gewoon door, met klantdata, offertes, contracten en soms zelfs persoonlijke gezondheidsgegevens.

Een CVSS-score van 9,8 betekent concreet dat een aanvaller op afstand code kan uitvoeren op het systeem van jouw medewerker. Dat kan leiden tot diefstal van bestanden, installatie van ransomware, of toegang tot je netwerk. En zodra er persoonsgegevens betrokken zijn, geldt er onder de AVG een meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur. Niet als het uitkomt, maar binnen 72 uur.

De potentiële schade is niet alleen financieel. Klanten die horen dat hun data mogelijk is gelekt, verliezen vertrouwen. Dat vertrouwen terugwinnen kost veel meer dan het installeren van een update.

Een klant van ons: de update die bijna te laat kwam

Een klant van ons, een zakelijk dienstverlener in de regio Tilburg met zo'n twintig medewerkers, werkt grotendeels met MacBooks. Praktisch, ze zijn al jaren Apple-gebruikers en tevreden over de hardware. Toen we bij de laatste ronde van ons beheer de macOS-versies controleerden, bleek dat acht van de twintig apparaten nog op een versie stonden die al weken niet meer up-to-date was. Niet omdat mensen het niet wilden updaten, maar omdat de melding telkens werd weggeklikt. 'Straks, nu heb ik een deadline.'

We hebben die updates alsnog uitgerold, gedocumenteerd en de medewerkers kort geïnformeerd over waarom dit belangrijk is. Niet met een technische lezing, maar met een simpele uitleg: 'Jouw laptop had een open deur. Die hebben we nu dichtgedaan.' Dat snapt iedereen.

Dit is precies het verschil dat een goede IT-partner maakt. Niet afwachten tot er iets misgaat, maar structureel zorgen dat de basis op orde is.

De Ratho-driehoek: Mens, Proces, Techniek

Bij Ratho kijken we altijd door drie lenzen tegelijk: Mens, Proces en Techniek. Een situatie als deze raakt alle drie.

Mens

Medewerkers klikken updates weg. Dat is niet gemakzucht, dat is menselijk gedrag. Een update-melding verschijnt op het slechtste moment, midden in een Teams-vergadering of vlak voor een deadline. De oplossing zit niet in meer meldingen, maar in bewustzijn. Als jouw team begrijpt wat er op het spel staat, neemt de medewerking toe. Een korte uitleg, geen technisch jargon, werkt beter dan een saaie beleidsregel.

Proces

Heb je een proces voor patchbeheer? Weet je welke apparaten in jouw organisatie draaien op welke versie van macOS? Als het antwoord 'nee' of 'eigenlijk niet' is, dan is dit een mooi moment om dat te veranderen. Updates moeten niet afhangen van de discipline van individuele medewerkers. Ze moeten beheerd, gepland en gedocumenteerd worden. Juist die documentatie is ook wat je nodig hebt als de AP belt.

Techniek

Met de juiste tooling kun je als beheerder centraal zien welke macOS-versies in gebruik zijn en updates gefaseerd uitrollen, buiten werktijden, zodat niemand er last van heeft. Dat klinkt als iets voor grote bedrijven, maar het is ook voor MKB-organisaties met tien of twintig Macs heel goed te realiseren.

Wat moet je nu concreet doen?

Hier zijn vier stappen die je vandaag al kunt zetten:

Controleer de macOS-versie op alle apparaten. Klik op het Apple-logo linksboven, kies 'Over deze Mac' en kijk welke versie er staat. Zijn er apparaten op Golden Gate 27, Sequoia 15.8 of Tahoe 26.7? Dan is er werk aan de winkel.
Installeer de beveiligingsupdate direct. Ga naar Systeeminstelling, dan Software-update. Apple heeft de patch al klaarstaan. Dit duurt tien tot twintig minuten.
Informeer medewerkers die thuis werken. Thuiswerkers vallen buiten het zicht van veel IT-beheerders. Stuur een kort berichtje in Teams of via e-mail: 'Update je Mac vandaag nog.'
Documenteer de uitgevoerde updates. Voor AVG-compliance is het verstandig bij te houden wanneer welk apparaat gepatcht is. Dat klinkt bureaucratisch, maar het hoeft niet meer dan een simpele lijst te zijn.

Geen tijd of capaciteit? Dan helpt Ratho je

Als je dit leest en denkt: 'Dit is precies het probleem, wij hebben niemand die dit beheert', dan is dat een eerlijk en herkenbaar signaal. Veel MKB-bedrijven in Brabant draaien op goed vertrouwen en een handvol mensen die 'ook iets van IT weten'. Dat werkt prima, totdat het niet meer werkt.

Bij Ratho bieden we IT-beheer dat meegroeit met jouw organisatie. Van een vangnet voor urgente situaties zoals deze, tot volledige ontzorging waarbij we patchbeheer, monitoring en compliance voor je regelen. We werken met MKB-bedrijven in uiteenlopende sectoren, van zakelijke dienstverlening tot onderwijs, en we begrijpen dat IT bij jou geen hoofdactiviteit is maar wel essentieel.

Wil je weten of jouw macOS-omgeving kwetsbaar is? Neem contact op en we kijken het samen met je door.

Veelgestelde vragen

Hoe weet ik of mijn Mac kwetsbaar is?

Klik op het Apple-logo linksboven in je scherm en kies 'Over deze Mac'. Staat er macOS Golden Gate 27, Sequoia 15.8 of Tahoe 26.7? Dan is jouw apparaat kwetsbaar en moet je direct updaten via Systeeminstelling, Software-update.

Zijn er al aanvallen bekend die gebruikmaken van deze kwetsbaarheden?

Op het moment van publicatie van het NCSC-advies waren er nog geen bevestigde actieve aanvallen in Nederland gemeld. Maar de kans op misbruik is niet verwaarloosbaar. De ernst van de kwetsbaarheden maakt het juist aantrekkelijk voor aanvallers om snel te handelen zodra details breder bekend worden. Wacht daarom niet af.

Wat als een medewerker thuis werkt en zelf zijn of haar Mac beheert?

Thuiswerkers vallen buiten het zicht van veel IT-beheerders, maar hun apparaten zijn wel onderdeel van jouw risicoprofiel. Als ze toegang hebben tot bedrijfsdata of verbinding maken met jouw netwerk, geldt hetzelfde risico. Informeer ze actief en vraag ze de update te installeren. Wil je dit structureel beter regelen? Dan is centraal apparaatbeheer via MDM-software een slimme stap.

Moet ik een datalek melden als ik niet weet of er misbruik is gemaakt?

Niet automatisch. Een meldplicht bij de Autoriteit Persoonsgegevens geldt als er sprake is van een daadwerkelijk beveiligingsincident waarbij persoonsgegevens betrokken zijn. Het hebben van een kwetsbare versie zonder bewijs van misbruik is geen reden tot melden, maar wel een reden om zo snel mogelijk te patchen en de situatie te documenteren. Bij twijfel is het verstandig een jurist of je IT-partner te raadplegen.

Kritieke macOS-kwetsbaarheid: update je Mac nu