NCSC verwacht snel grootschalige hacks via nieuw Citrix NetScaler-lek

Het Nederlandse NCSC waarschuwt voor grootschalig misbruik van drie nieuwe kwetsbaarheden in Citrix NetScaler. De kwetsbare configuratie komt veel voor, blijkt uit onderzoek van het NCSC. Aanvallen op de kritiekste kwetsbaarheid zijn al waargenomen door Citrix.

Het Nationaal Cyber Security Centrum (NCSC) van de Nederlandse overheid belicht in een beveiligingsadvies drie nieuwe kwetsbaarheden in NetScaler-systemen van Citrix. De ict-leverancier heeft dit dinsdag onthuld toen het patches uitbracht. Het gaat om NetScaler ADC en NetScaler Gateway. In de software van die netwerkapparaten zitten drie kritieke kwetsbaarheden.

Hackers voeren al aanvallen uit op de kritiekste (CVE-2025-7775) van die drie, meldt Citrix. Het NCSC voegt daaraan toe dat aanvallen op grote schaal te verwachten zijn. "Nader onderzoek toont aan dat de kwetsbare configuratie zeer veel voorkomt, waardoor grootschalig misbruik waarschijnlijk is", aldus het cybersecurityorgaan in een beveiligingsadvies.

"De kwetsbaarheden zijn gerelateerd aan geheugenoverflows en onjuiste toegangscontroleconfiguraties. Kwaadwillenden kunnen de kwetsbaarheden misbruiken om een denial-of-service te veroorzaken en mogelijk willekeurige code uit te voeren op het kwetsbare systeem", legt het NCSC uit.

Citrix heeft zijn cloudsystemen inmiddels gepatcht, maar klanten met eigen on-premisesinstallaties van NetScaler ADC en NetScaler Gateway moeten met spoed de updates installeren. "De kwetsbare configuratie die door Citrix is aangegeven, is dermate veelvoorkomend dat het NCSC op korte termijn grootschalig misbruik verwacht."

Het NCSC verwijst naar dit beveiligingsadvies in reactie op vragen van Tweakers over de ernst van deze nieuwste kwetsbaarheden in Citrix NetScaler. Die netwerksystemen zijn recent, maar ook in de afgelopen jaren, hackbaar gebleken door verschillende kritieke kwetsbaarheden. Diverse organisaties zijn daardoor aangevallen en gehackt, waaronder het Nederlandse Openbaar Ministerie, dat zichzelf offline heeft gehaald.

Reacties (64)

[kevinvs]

Voor Netscaler beheerders: NCSC raad aan om ook weer het IOC (Indication of Compromise) script weer te draaien om te zien of al geraakt bent.

“Dit script is ontwikkeld om compromittatie te detecteren voor de kwetsbaarheid met kenmerk CVE-2025-6543. Dit script is ook geschikt om compromittatie door middel van latere kwetsbaarheden te detecteren. Het NCSC raadt aan om dit script uit te voeren op NetScaler systemen. (..)

Het detectiescript kan worden verkregen via https://github.com/NCSC-NL/citrix-2025/blob/main/live-host-bash-check/TLPCLEAR_check_script_cve-2025-6543-v1.8.sh

De handleiding voor dit script kan worden verkregen via https://github.com/NCSC-NL/citrix-2025/blob/main/live-host-bash-check/README.md”

Misschien goed dat Tweakers nogmaals de link aanpast naar (altijd) de laatste versie van dit beveiligingsadvies: https://advisories.ncsc.nl/2025/ncsc-2025-0268.html

[koppie]

Dat is inderdaad een heel goed advies. Als je hier induikt is het eigenlijk heel bijzonder dat aanwezigheid van bijvoorbeeld nieuwe PHP-bestanden kan aantonen dat er een gat in je systeem zit. Je zou toch verwachten dat het systeem ook checkt welke bestanden gestart en aangeboden worden aan de webserver?

Maar het geeft een goede indicatie, en mijn advies dat bij elk gevoel van onraad je beter opnieuw kan beginnen. Eenmaal geinfecteerd, kan het heel lastig het systeem weer clean maken.

[Michael010]

gisterenmiddag gelijk onze Citrix ADC nog gepatcht en gecheckt, tezamen met nog 2 andere scripts (disk-image-checks en core-dump-checks) via GitHub - NCSC-NL/citrix-2025

No IoC findings gelukkig

[friend]

script weer te draaien om te zien of al geraakt bent.

Is het dan niet heel erg eenvoudig om een script te maken die voortdurend scanned en de firewall dicht gooit zodra de hack uitgevoerd wordt? Dat lijkt mij heel wat effectiever dan af en toe te scannen om te zien dat het eigenlijk al te laat is.

[Tiara_kurk]

Dit is ook een leuke om naar te kijken: https://github.com/brf2010/citrix-webshell-alert. Periodieke logging middels splunk en een cronjob.

[Brotuck]

Het product Netscaler (onderdeel Citrix) word veel meer gebruikt dan je zou denken. Alhoewel google dit niet publiek bekend maakt is het vrij algemeen bekend dat ze veelvuldig gebruik maken van Netscaler diensten.

Als je over de langere termijn kijkt dan is het product helemaal niet zo onveilig als je zou denken overigens. Het aantal CVE's is beduidend lager dan op de concurrentie.

Dat bijna iedere overheidsinstantie er gebruik van maakt is omdat er een dienst/product word geleverd die nergens anders in de markt te vinden is. Ze zijn er ook heel erg goed in. Maar hoge bomen vangen nu eenmaal veel wind.

[schrikbeeld]

@Brotuc. Je schrijft dat het helemaal niet zo’n onveilig product is, maar een paar bugs met zeer hoge prioriteit of kwetsbaarheid in zeer korte tijd en met als reden geheugenoverflows en onjuiste toegangscontroleconfiguraties geven je toch te denken.

Als een bug een dermate hoge scaling krijgt dan zou je toch mogen verwachten dat, bij het fixen daarvan, je meteen een scan doet op vergelijkbare fouten? Of is dit te gemakkelijk verondersteld?

[Brotuck]

Het zou best kunnen dat men er allang vanaf wist, maar net als ieder groot bedrijf hebben ze met interne procedures te maken en aandeelhouders. En als men het verkeerd aanpakt kan dat grote gevolgen hebben voor de koers etc.

Daarmee zeg ik niet dat dit zo is gebeurd, maar kan het me wel voorstellen.

Bovendien als je publiek een belangrijke CVE bekend maakt leg je er 100% de aandacht op en komen exploits vaak erg snel daarna op grote schaal. Zolang het nog niet bekend is bestaat de exploit natuurlijk ook, maar zal die in mindere mate misbruikt worden.

[ijdod]

Mwah. Er zijn al meer issues geweest met Netscaler, en belangrijker, hoe die opgepakt zijn. En zo uniek zijn ze niet in die markt, dat doet F5 ook. Als iemand die bekend is met beide platformen, doe mij die laatste maar.

[jaspov]

Treft dit alleen organisaties die NetScaler ADC en NetScaler Gateway gebruiken (voor remote access?) of kan je ook als consument hier last van krijgen?

[ictertje]

Als consument zou je hier ook last van kunnen krijgen mocht de website die je bezoekt bijvoorbeeld geloadbalanced worden via een netscaler. wel moet deze Loadbalancing server op de netscaler gebind zijn aan ipv6 services of servicegroups die gebind zijn aan ipv6 servers.


EDIT: wel moet dan toevallig ook de kwetsbaarheid op die netscaler misbruikt zijn wil je hier last van gaan ondervinden uiteraard. ik acht de kans dat een consument hier last van gaat krijgen dus zeer klein.

[Reactie gewijzigd door ictertje op 27 augustus 2025 08:46]

[readefries]

Je benoemd hier een paar keer IPv6, hebben ze dan te veel naar IPv4 gekeken ipv goed kijken hor IPv6 anders is ofzo?

[jaspov]

Dank, ik heb weer wat geleerd.

[Heroic_Nonsense]

Een NetScaler is een apparaat dat door grote bedrijven in hun datacenter wordt gehangen. Het ziet er zo uit:

https://docs.netscaler.com/en-us/netscaler-hardware-platforms/mpx/media/16000-front-panel.png

Dit is dus niet iets dat je als consument in je meterkast hebt hangen (enkele fanatiekelingen daargelaten natuurlijk).

Je hebt er als consument dus niet direct last van, maar je kunt er wel indirect last van krijgen. Bijvoorbeeld als een bedrijf of instelling wordt gehackt door deze kwetsbaarheid en daardoor jouw gegevens op straat komen te liggen.

[gabba25]

Er is ook een virtuele netscaler. Het is dus niet in alle gevallen zo'n hardware bak. Beide met eigen voor- en nadelen.

[Heroic_Nonsense]

Goed punt!

[fuzzyIon]

Zou je kunnen vervangen door opensource producten zoals Ha-proxy?

[Heroic_Nonsense]

HAProxy heeft een andere doelgroep dan NetScaler, en mist daarom bepaalde functionaliteiten die de NetScaler-klanten nodig hebben. NetScaler is namelijk niet alleen een proxy of loadbalancer, maar ook een WAF, een alles-in-een SSO-provider en een VPN.

Ten opzichte van wat HAProxy kan, biedt NetScaler óók traffic shaping, userauthenticatie via LDAP, Kerberos, OAuth en SAML, integratie met monitoringoplossingen (die vaak al draaien in enterpriseomgevingen, en dus vaak een vereiste is).
En natuurlijk kan NetScaler dienen als frontend voor voor het Citrix-virtualisatieplatform (waardoor eindgebruikers eenvoudig bij hun desktops of gevirtualiseerde apps kunnen via een website waar men op inlogt).

En dat alles out-of-the-box, met support, in de vorm van een networkappliance (of, zoals @gabba25 al aangaf, in softwarevorm). Op zich een prima deal, maar dan moet het wel veilig zijn natuurlijk (en daar laat Citrix sinds een tijdje vaak de bal vallen).

Wij gebruiken NetScaler (gisteren meteen gepatched uiteraard) naar tevredenheid, hoewel er nu vanuit security wel voorzichtig naar andere oplossingen wordt gekeken.

[fuzzyIon]

Maar… vertrouw niet alleen op de NetScaler. Dat zou net zoiets zijn als een kluisdeur plaatsen en daarna de ramen open laten staan. Banken bouwen lagen om die ADC heen:

Upstream DDoS filtering door ISP of via gespecialiseerde providers (Akamai, Cloudflare, Radware).

Dedicated WAF (vaak dubbel: eentje op de ADC en nog een gespecialiseerde oplossing, soms zelfs cloud-WAF).

Next-gen firewalls / IPS naast of achter de NetScaler.

Zero-trust componenten zoals identity-aware proxies of API-gateways.

De echte kunst zit in de architectuur: hoe je die NetScaler integreert in een gelaagde beveiligingsstrategie, zodat geen enkele fout of bug (en NetScaler heeft er in het verleden genoeg gehad) de hele boel omver trekt.

[jaspov]

En ook dank voor deze context!

[tunf]

Gaat alleen om de netscalers die je als consument niet in bezit hebt. Het gaat overlast geven als organisaties met dit soort systemen toch gehackt worden en niet bereikbaar zijn zoals bijv. een gemeente oid en daardoor offline gaat (al dan niet uit voorzorg).

[jaspov]

Dank voor deze context. Het zei me al niets maar dat wil niet altijd zeggen dat je het op de achtergrond niet gebruikt.

[Bestseller]

hopelijk zijn onze overheidsinstanties up to date

[Ootje70]

Ja, zodra ze net als alle andere gebruikers de nieuwe patch hebben doorgevoerd. De periode daarvoor zijn zij net als de anderen net zo kwetsbaar (geweest). Ik denk dat Citrix eens goed naar hun product moet gaan kijken en mijn advies aan gebruikers is om te overwegen te stoppen met Citrix want het blijkt een dure en onveilige Workspace te zijn en er zijn voldoende alternatieven. Het overstappen is kostbaar en geen sinecure maar gehackt worden helemaal niet.

[ictertje]

Citrix is de gouden standaard binnen grote enterprises (en overheid) en dit is met een reden. Citrix is veel meer als netscaler en gewoon een "virtuele desktop omgeving", zij bieden mogelijkheden die je simpelweg niet vind bij andere vendors.

[Pinkys Brain]

De loden standaard ... en met een reden. IT zit vol met pappen en nathouden, er is totaal geen respect hebben voor de grote noodzaak om het eindelijk eens goed te gaan doen.

Citrix als virtuele desktop (en dus VM manager), whatever, daar kom je door bergen legacy niet snel omheen. Maar het was vanaf het begin duidelijk dat ICA nooit een applicatie interface had mogen worden (is al tientallen jaren duidelijk dat het gewoon met HTML moet). Voor VPN is het duidelijk pet met een rietje en zonder ICA zijn er voor load balancing betere opties.

Cloudflare is de gouden standaard van hoe het wel moet.

[Reactie gewijzigd door Pinkys Brain op 27 augustus 2025 10:42]

[Ootje70]

Wat zijn dan die unieke mogelijkheden van Citrix? Er werken meer grote organisaties zonder Citrix dan met. Het gebruik heeft voordelen dat ontken ik niet en overal gewoon terminals neer kunnen zetten is er zo 1.

[YoMarK]

Een 'netscaler' is een geavanceerde loadbalancer, application/API proxy, reverse proxy die allerhande zaken als content inspection, kan doen en(niet geheel toevallig) ook als gateway voor remote desktop sessies fungeren.
Dat laatste is wat jij waarschijnlijk bedoeld met 'Citrix'.
Je kan er ontzettend veel mee.
Helaas kan ik de laatste tijd ook niet anders dan concluderen dat die enorme berg aan mogelijkheden(complex product) wel een hele brede attack surface biedt.

[ictertje]

als je praat over organisaties met bijvoorbeeld 50.000+ medewerkers praat je vaak over duizenden single/multi session VM's, het uitrollen/beheren van images is dan een mooie uitdaging. je zou gebruik kunnen maken van Citric MCS/Nutanix Calm of VMware instant clone (al zijn deze ook al niet helemaal te vergelijken met elkaar), maar dit kost je gigantisch veel opslag. daarvoor heeft Citrix: PVS, hiermee stream je een image naar een VM en heeft deze VM dus in principe geen storage nodig (vaak wel een kleine disk voor local caching mits ingeschakeld). het re-imagen gaat hiermee ook een stuk sneller.

slechts 1 voorbeeld van een oplossing welke citrix biedt en door geen andere vendor geboden word.

[mocem]

Wat heb je er aan als het zo lek is als een mandje. Vorige keer heb ik hier gelezen dat alles onder root draait op zo'n apparaat. Dat zijn bij mij red flags als Linux engineer.

[Heroic_Nonsense]

Ik heb het idee dat Citrix-producten als NetScaler de laatste onder een vergrootglas liggen bij de aanvallende partijen, en dat de kwetsbaarheden nu aan de lopende band worden ontdekt. Mogelijk heeft men iets van source code of technisch ontwerp weten te bemachtigen, en is er geen sprake meer van trial-and-error bij de aanvallers.

Of dit betekent dat Citrix-producten meer lek zijn dan andere, in dezelfde regionen opererende producten, zou ik niet heel stellig beweren.

[ictertje]

amen :)

[AddictIT]

Het is dan ook geen standaard Linux...

Het is (momenteel nog) gebaseerd op FreeBSD, zij het dan wel volledig gestript van alle functionaliteit die ze niet nodig hebben in de kernel/OS. In essentie is het eigenlijk een nieuw OS.

Daarnaast gebruikt NetScaler een volledig aangepaste network stack voor communicatie (dit is een van de reden waarom ze zo'n hoge performance halen met minder resources), en wordt het verkeer afgehandeld in een single-pass architecture (binnen hetzelfde proces). Ter vergelijking, bij Fortinet maken ze gebruik van calls tussen FortiADC en FortiWeb bijvoorbeeld om hetzelfde doel te bereiken. Daarom niet slechter of beter, gewoon anders.

Een heleboel processen draaien inderdaad als root, maar niet alles, en ik vermoed dat dit nodig is om toegang te kunnen krijgen tot functies in de kernel.

De Apache2 daemon bijvoorbeeld draait als user "nobody", zoals het hoort. Dat is ook de reden waarom dat die webshells slechts op bepaalde plekken op het filesystem kunnen voorkomen (en het iets eenvoudiger is om dit te tracken met een script zoals dat van het NCSC).

[ictertje]

(ik ben geen linux engineer) Bedoel je dan processes en daemons die draaien?

[readefries]

Een gouden regel in Linuxland, is dat je processen hun eigen gebruiker geeft en zo rechten beperkt ipv als root te draaien waardoor ze overal bij kunnen

[ijdod]

Ze zijn niet de gouden standaard. Vaak worden ze simpelweg meeverkocht met de VDI oplossing 'want dat werkt naadloos van zelfde vendor'. En als je die doos dan toch al hebt kan je hem voor meer dingen inzetten. Daarnaast zetten ze het product aan de onderkant van de markt erg scherp neer qua prijs (en erg uitgekleed), en voila, je hebt een product te pakken wat veel ingezet wordt. Maar dat maakt het geen gouden standaard.

[TheMak]

Hoe kan je zien of je als gebruiker tegen een netscalersessie aan zit te kijken? Ik begrijp dat citrix meerdere producten heeft.

[ictertje]

in geval van een ICA sessie ga je naar Connection center van de workspace app op je Client en bekijk je de eigenschappen van je lopende connectie. Als daar Gateway staat met een URL ga je via een netscaler.
gaat het puur om een load balancing server op de netscaler van een website is dit niet te zien.

[tedades]

Weet je toevallig of je aan die URL kunt zien of het via on-premise gaat of in de cloud?

[ictertje]

Als er iets staat dat eindigd op .cloud.com of soms nog .xendesktop.net (oude citrix tennant) word er gebruik gemaakt van de gateway diensten van citrix cloud. Echter kan de citrix admin ook aan citrix cloud een custom workspace url geven waardoor, ondanks dat er gebruik gemaakt word van citrix cloud, gewoon werkplek.bedrijf.nl staat. In dat laatste geval zie je dat dus niet.

[bussie66]

Tenzij iedereen nu eens een keer op tijd update?

OM?

[Ulic]

Dat is altijd de afweging. Hoe vaak gaan er geen dingen stuk juist door een update? Dus er moet altijd een balans gevonden worden tussen snelheid van updaten en het grondig testen van updates voor je die uitrolt.

[kevinvs]

Dit is vaak een overweging, maar bij een component als de netscaler die door zijn functie juist behoorlijk open aan het internet hangt is het (haast) geen afweging meer of je gaat patchen, maar is hooguit de afweging patchen of offline halen (met alle gevolgen van dien).

Sinds de Citrix file in januari 2020 (nieuws: Bedrijven, overheden en gemeenten schakelen Citrix-systemen uit voorzorg uit) hebben we voor de diensten die via de Citrix netscaler worden ontsloten de noodprocedures echt wel klaar liggen om snel dit besluit te kunnen nemen.

Alleen als je in staat bent alle kritieke diensten heel snel risico gebaseerd of automatisch te kunnen testen dan zou je nog evt. zelf heel snel fixes kunnen doorvoeren voordat je de productie netscslers update, maar als het issue door Citrix opgelost moet worden gaat dat nooit snel genoeg om nog even een paar dagen zonder update door te draaien.

[kodak]

Dat allemaal mooie theorie maar de praktijk is eerder wat @Ulic stelt. Veel eigenaren en verantwootdelijken stellen andere belangen voorop, bijvoorbeeld door niet eens te controleren of een apparaat zoals van Citrix, enorme beveiligingsgaten heeft. En dat hoeft niet eens een bewuste keuze te zijn, het prioriteit aan iets anders geven is al genoeg om het te laten gebeuren. En dar begint er al meer door geen eisen aan bedrijven als Citrix te stellen aantoonbaar veilige apparatuur te ontwikkelen. Wettelijk gezien hoort een eigenaar dat te doen tenzij er een heel goede reden is om het na te laten. Bijvoorbeeld dat je kan aantonen geen persoonlijke gegevens te verwerken. Maar dit soort apparatuur koopt men meestal juist om daar makkelijk toegang toe te krijgen.

[inversions]

Als je nu nog een update moet gaan plannen en dat niet direct uitgevoerd hebt dan is je security beleid niet op orde. Kritiek lek is gewoon zelfde dag nog patchen. Daaronder kun je afwegen hoeveel je wil testen en zou je het waarschijnlijk maandelijks kunnen doen.

[mocean]

Zijn deze producten ontzettend slecht gebouwd of geconfigureerd dat deze laatste tijd zo vaak negatief in het nieuws zijn? Je kan jezelf toch geen professional leverancier noemen op deze manier...

[tedades]

Dit soort producten zijn juist interessant om op in te breken. Ik verwacht eerder dat na de vorige hack ze bij Citrix, en bij gebruikers, extra zijn gaan opletten waardoor ze ook de andere hacks vonden. Met alle aandacht zullen ook hackers een keer naar dit product zijn gaan kijken waardoor die mogelijk ook weer nieuwe dingen vonden.

Daarnaast kan het natuurlijk ook gewoon een bagger product zijn maar dat verwacht ik niet. Ik gok eerder dat er bedrijven bestaan die volledige leunen op zo'n Citrix oplossing en die soms ook nog slecht onderhouden. Als zo'n oplossing dan faalt heb je toegang tot alles.

[kodak]

Je stelt een belangrijke vraag waar de kopers/eigenaren/verantwoordelijken antwoord op horen te kunnen geven. Zeker die van bedrijven en organisaties die persoonsgegevens via dit soort apparatuur verwerken. Maar het opvallende is dat het daar iedere keer ijzig stil blijft. En ook de fabrikant en de verkopers legen publiek geen duidelijke verantwoording af. Het lijkt veel belangrijker te zijn om het er niet over ye willen hebben dan uitleg te geven waarom men dit soort producten gebruikt alsof het veilig genoeg is.

[tunf]

Er staat een fout in de laatste link. Aan het einde staat het cijfer 9 en die moet je weghalen om het beveiligingsadvies te kunnen zien.

[JaspB]

Ai, Ctrl-V vaudje.

Dank voor je oplettendheid!

[dennizzz]

De fout zit ook (nog) in dezelfde link in de 3e alinea.

[Verwijderd]

@Tweakers redactie: Er zit een fout in de link naar het NCSC beveiligingsadvies

https://advisories.ncsc.nl/2025/ncsc-2025-0268-1.html9

moet zijn

https://advisories.ncsc.nl/2025/ncsc-2025-0268-1.html

[JaspB]

Ai, Ctrl-V vaudje van mij.

Dank voor je oplettendheid!

[Amendeon]

Zou zelfs inmiddels deze moeten zijn: https://advisories.ncsc.nl/2025/ncsc-2025-0268-2.html

Hier wordt ook aangeraden het script dat eerder beschikbaar is gesteld door het NCSC te draaien.

[Reactie gewijzigd door Amendeon op 27 augustus 2025 08:41]

[JaspB]

Yep, dank! Ik heb de toevoeging van '- cijfer' verwijderd zodat je altijd op de actuele versie van het beveiligingsadvies uitkomt.

En indeed, het detectiescript. Daar wees het NCSC me daarnet ook op (nadat tweakers dit al hadden gedaan! 🤘). #tikkerdetik nu

[DefaultError]

Zet een noodknop op de toegang totdat alles is voorzien van een stevige update.