Patiënten kunnen niet bij ziekenhuisdossiers vanwege Citrix-kwetsbaarheden

Het Nederlandse Nationaal Cyber Security Centrum (NCSC) waarschuwt voor kwetsbaarheden in Citrix NetScaler ADC en NetScaler Gateway. Bij diverse ziekenhuizen ontstonden daardoor problemen. Inmiddels zijn patches verschenen voor de kwetsbaarheden.

Dit nieuws in het kort

• Twee van de ernstigste kwetsbaarheden worden actief misbruikt.
• Bij diverse ziekenhuizen zijn patiëntdossiers niet toegankelijk.
• Het NCSC adviseert om de beschikbare patches zo snel mogelijk te installeren.

In totaal zijn acht kwetsbaarheden gevonden in de systemen, schrijft het NCSC. Van de twee ernstigste is bevestigd dat ze actief worden misbruikt. Het gaat om CVE-2026-88771 en CVE-2026-88772.

CVE-2026-88771 is een remotecode-executionfout, waarmee aanvallers op afstand willekeurige commando's kunnen uitvoeren. Daarvoor hoeven ze niet in te loggen. Aanvallers krijgen hiermee de volledige controle over de gateway. Volgens het NCSC zijn alle NetScaler ADC- en NetScaler Gateway-servers kwetsbaar voor deze fout.

CVE-2026-88772 is een memoryoverflowfout. Aanvallers kunnen daarmee geheugenlekken veroorzaken, waardoor een systeem onvoorspelbaar gedrag vertoont of volledig crasht. Vpn-, gateway- en loadbalancingdiensten vallen daardoor uit, waardoor medewerkers niet meer extern kunnen werken. Alle NetScaler ADC- en Gateway-servers zijn kwetsbaar voor deze fout als DTLS aan staat. Dat staat standaard ingeschakeld bij vpn-servers.

Problemen bij ziekenhuizen

Diverse ziekenhuizen ervaren problemen als gevolg van de kwetsbaarheden, meldt de NOS. Ze gebruiken Citrix-systemen en patiënten kunnen daarmee op afstand het onlinedossier inzien.

Zorgexpertisecentrum Z-Cert waarschuwde ziekenhuizen uit voorzorg voor de problemen en adviseerde om maatregelen te nemen, zoals de systemen uitschakelen. Bij het Amphia Ziekenhuis in Breda en het TweeSteden Ziekenhuis in Tilburg zijn de patiëntendossiers tijdelijk niet bereikbaar. In Leeuwarden had het Frisius MC ook last hiervan, maar die problemen zijn inmiddels verholpen.

Verder heeft de Rijksoverheid Citrix-omgevingen losgekoppeld van het internet. Rijksambtenaren die op afstand werken kunnen daardoor niet inloggen via Citrix. Ook werkt een aantal applicaties op Citrix niet.

Patches beschikbaar

Citrix heeft de gevonden kwetsbaarheden gedicht met patches. Het NCSC adviseert om deze zo snel mogelijk te installeren. Maar ook daarna moeten gebruikers Citrix NetScaler monitoren op verdacht verkeer of afwijkende handelingen, zegt het NCSC.

Versie	Kwetsbaarheden gedicht in versie
Citrix NetScaler ADC en Gateway 14.1	14.1-73.37 en nieuwer
Citrix NetScaler ADC en Gateway 13.1	13.1-64.23 en nieuwer
Citrix NetScaler ADC 14.1-FIPS	14.1-73.37 en nieuwer
Citrix NetScaler ADC 13.1-FIPS en 13.1-NDcPP	13.1.37.279 en nieuwer

Reacties (69)

[Joenino]

De update was letterlijk 15-30 minuten werk dus dit is zo gefixt. Even uit zetten. snapshotje maken (als je hypervisor gebruikt) en updaten. Gister bij een klant of 6 gedaan die hun eigen netscalers hebben en die van ons zelf in HA was ook zo gefixt.

De traagheid die sommige instanties hanteren is mij echt ongehoord, je staat gewoon wagenwijd open en alsnog ga je eerst even vergaderen of je de update wel moet uitvoeren.... Maak die snapshot, update dat ding! Security gaat in deze tijd even boven gebruikersgemak.

Gaat de update fout dan onbruikbaar maken vanaf extern en iedereen weer lekker naar kantoor (of bied een VPN oplossing aan anders dan de netscaler om vervolgens je Storefronts benaderbaar te maken voor mensen die echt niet anders kunnen dan thuiswerken).

Ps voor de mensen die hem doen vergeet dat commando niet!

set ns tcpparam -enhancedISNgeneration ENABLED

Anders is die CVE-2026-88778 als nog niet gefixt.

[SunnieNL]

Die 30 minuten is niet het enige toch? Daarna moet je onderzoeken of er niemand binnen zit of zat. Ik hoor de geruchten hierover al een week. Dus aanvallers kunnen al een week binnen zitten.


Forensics script zit achter nda bij citrix (al kan die niet alles zien ivm rotating logs en cleanups van aanvallers)

Zie ook https://cyberplace.social/@GossiTheDog/117345540231975640

[Reactie gewijzigd door SunnieNL op 28 september 2026 08:51]

[Sando]

Die 30 minuten is niet het enige toch? Daarna moet je onderzoeken of er niemand binnen zit of zat.

Maar dat probleem verdwijnt niet door de patch niet te installeren. Als ik @Joenino goed begrijp, zijn er bedrijven die eerst gaan vergaderen over de noodzaak deze 30 minuten te investeren.

Ik vind eigenlijk ook dat als je privacy gevoelige informatie zoals complete medische dossiers en onderzoeksresultaten van de bevolking beheert, dat je dan strafrechtelijk verplicht dit soort updates binnen een bepaalde tijd moet installeren. Dan hoeft er ook niet meer over vergaderd te worden.

[Reactie gewijzigd door Sando op 28 september 2026 09:28]

[SunnieNL]

Maar het probleem is dus ook niet in 30 minuten opgelost. Als je het goed wilt doen hou je de netscalers offline na het patchen tot je onderzoek is afgerond. Je wilt niet dat er nog wat achter is gebleven en de aanvallers nog vrolijk binnen zitten na het patchen.

Daarnaast, door de rolling logs van de Netscaler heb je kans dat als je hem online houdt na het patchen, dat belangrijke informatie uit de logs verdwijnt.

Dus eerst offline halen, dan patchen, dan forensics op de netscaler zelf en daarna nog in je hele infrastructuur. Vaak is het ook zo (en ik vermoed dat dat advies vanzelf nog gaat komen, want dat is vrij standaard bij dit soort edge appliances) dat je na het patchen voor de zekerheid de netscaler moet resetten naar default (uiteraard na het veiligstellen van de logs) omdat dat de meeste achtergebleven backdoors verwijderd.

Over je laatste opmerking: daar hebben we de nieuwe cybersecurity wetgeving voor. Het is dan aan de toezichthouder om daar een tijd voor te zetten (volgens mij heeft cisa hem staan op direct patch doorvoeren en binnen 3 dagen forensics afronden)

[Reactie gewijzigd door SunnieNL op 28 september 2026 10:10]

[Sando]

Dat klopt wel, en dat stukje onderzoek is dan vermoedelijk waar de it-afdeling geen zin in heeft, geen budget voor heeft, of geen toestemming voor heeft (om de systemen tijdelijk offline te halen).

Maar die patch zelf, die zou m.i. in ieder geval verplicht moeten zijn. Gaten open laten doe je maar op je hobbycomputer. Niet als beheerder van 100.000 patiëntendossiers die volgens de nieuwe E.U.-regels straks ook geen opt-out meer mogen doen als ik het goed begrijp.

Dus nu kunnen patiënten alsnog niet inloggen in hun medische portals en thuiswerkende ambtenaren kunnen alsnog niet inloggen bij de overheid. Wat wordt er volgende week allemaal op het dark web gezet? En gaan verzekeringsmaatschappijen dit ook heimelijk downloaden om vervolgens aanvullende zorgverzekeringen te weigeren bij iedereen die een risicofactor in het gelekte dossier heeft staan?

(Antwoord: ja. Zelfs onze Belastingdienst gebruikt illegaal verkregen data. Onderdeel van de Overheid, met wettelijk vastgelegde voorbeeldfunctie en algemeen beginsel van behoorlijk bestuur.)

[TheekAzzaBreek]

Maar die patch zelf, die zou m.i. in ieder geval verplicht moeten zijn. Gaten open laten doe je maar op je hobbycomputer. Niet als beheerder van 100.000 patiëntendossiers die volgens de nieuwe E.U.-regels straks ook geen opt-out meer mogen doen als ik het goed begrijp.

Goed plan, als je denkt dat je blind op die patches kan vertrouwen. Helaas is dat vaak niet het geval, dus dat je even de tijd neemt om in te schatten of die patch niets stuk maakt vind ik wel voorstelbaar. In die tijd zet je de boel wel dicht, uiteraard.

[kevinvs]

NCSC zegt dat je een RAM dump moet maken vóór de update. Dus eerst van je passieve node een techsupport log maken, dan RAM dump want dat dan krijg je automatisch een warm reboot, dan updaten en na de update failover naar de geüpdate node. En dan hetzelfde voor je andere node.

Tevens zegt NCSC in het nieuwsbericht dat je minimaal één maand aan logging moet veiligstellen in deze casus, wat suggereert dat het inderdaad al een week of langer rondgaat.

Daarbij is het goed dat door de nieuwe CBW een aantal kritieke organisaties vooraf worden geïnformeerd voor de openbare CVE maar het handelingsperspectief is dan wel lastig; risico afweging maken met weinig info. Dus dan afsluiten, IP-Whitelist of risico accepteren totdat zondagavond de CVE en Patch kwam.

In deze patch zit ook een nieuwe functie dat je automatisch op IOC kan controleren met Citrix Console. Hoe goed die is moeten we nog afwachten, maar het is in ieder geval een extra check in aanvulling op het standaard IOC Script van NCSC en makkelijker dan zelf bouwen zoals op:

https://www.deyda.net/index.php/en/2026/08/28/netscaler-cve-checklist-updates-security-assessment-and-incident-response/

Nu is het nog wachten op NCSC of ze specifiek voor deze aanval nog nieuwe IOC gaan publiceren. In een update stond dat daar nog aan gewerkt wordt..

[Reactie gewijzigd door kevinvs op 28 september 2026 11:23]

[MartineEekhof]

Daarbij vraag ik me af of het offline halen gevolgen heeft voor behandeling van de patiënten. Dan praat je over mensenlevens.

[Boogie]

Denk dat die impact mee valt.
De netscalers dienen om interne diensten naar het Internet te ontsluiten.

De zorgverlenders zijn toch vooral on-site, maar voor dienstdoende/achterwacht artsen die even snel een ECG, CTG of EMG moeten beoordelen moet je accepteren dat het even duurt voor de arts naar het ziekenhuis kan komen of moet de arts gedurende de dienst daar blijven.
Of terugvallen op mogelijk minder efficiënte en onwenselijke methodes zoals afbeeldingen delen via andere systemen als webmail en app's.
Voor de artsen die gewent zijn hun spreekuren vanaf thuis voor te bereiden is dit natuurlijk wel verstorend en zal het beperkt invloed hebben op de kwaliteit van de spreekuren.

[DeevieP]

De ervaring met netscaler updates is helaas anders. Je krijgt niet alleen een security fix, maar dikwijls ook onvoorziene bugs. Gewoon updaten lukt dus meestal niet en je moet deze echt heel goed testen. Afgelopen maanden miserie gehad met Radius load balancing op IPv6 en Netscaler ingress controller die niet meer correct functioneren na zo'n security update.

[TheZoo]

Dan heb je het huidige lek gedicht, maar heb je dan ook uitgesloten dat ze niet al binnen zijn (geweest)?

[Marve79]

Dat wordt vaak vergeten idd...

[dutch_camel]

'Even uitzetten' is niet altijd zo vanzelfsprekend als je het doet overkomen.

[satya]

Bij Rijkswaterstaat werd gisterenavond alles onmiddelijk dichtgezet.

[xmenno]

Er zijn ook instanties waarbij je geen admin account krijgt als je geen goedgekeurde change hebt. Je krijgt geen goedgekeurde change als je niet hebt getest, etc...

[turbojet80s]

Ik heb niet zoveel ervaring met Citrix en vraag me af waarom dit zoveel gebruikt wordt. Is MS RDS niet voldoende? Als je het mij vraagt veel veiliger. Wat zijn jullie ervaringen / meningen?

[wildhagen]

Het gaat hier om lekken in Netscaler ADC, niet om Citrix Virtual Apps/Desktops (vroeger XenApp). Microsoft RDS is een alternatief voor die laatste (hoewel veel minder uitgebreid en minder flexibel), maar niet voor Netscaler.

Netscaler kent wel wat alternatieven, maar die zijn veel minder dik gezaaid dan alternatieven voor Virtual Apps, het is vrij specialistisch en gecompliceerd spul.

Netscaler is ook meer dan alleen toegang geven tot Citrix-hosted applicaties, de functionaliteit gaat veel verder dan alleen dat, ook op gebied van connectiviteit en beveiliging.

De facto zijn ze op dit gebied gewoon marktleider, maar dat zal als het zo doorgaat qua ernstige lekken niet lang meer duren. Mede ook door het dubieuze beleid wat de nieuwe bedrijfsleiding van Citrix hanteert richting hun klanten, wat zacht gezegd 'niet netjes" is, met het druk zetten op contracten enzo...

[fuzzyIon]

Er zijn er genoeg zoals bijvoorbeeld Innuvika die 60% goedkoper is en veel sneller in te zetten.

[fietsie]

Da's geen Netscaler alternatief, de issues hier gaan niet over de Citrix werkplekvirtualisatie.

- Reverse proxy voor websites
- Authenticatieprovider voor cloud applicaties
- Loadbalancer
- Koppelvlak voor DigID authenticatie
- ...
- ...
- en ergens helemaal onderaan ook nog het ontsluiten van Citrix omgevingen voor werk-op-afstsnd

[fuzzyIon]

Ja het venijn zit meestal in de staart het is net die laatste 5% bijvoorbeeld: met name de ICA Proxy en de volledige integratie met het HDX-protocol en heel belangrijk on premisis verplichting (niet alles kan of mag de cloud in).

[ijdod]

Zijn ze marktleider? In de VDI stack geloof ik dat wel (al is het maar omdat ze (cq de intergrators die dat doen) de Netscaler neerzettem), maar puur op ADC en Gateway vlak zijn er wel degelijk grote concurrenten (hoewel ze via de VDI stack wel een goede voet tussen die deur hebben).

[mbovenka]

Yup, F5 bijvoorbeeld is ook geen kleintje in die markt.

[wvkreg]

omg, read up

[klaasZ58]

gezien de frequentie van CVE's van deze Netscalers (ADC's), overgestapt naar parralels
wij hadden er 3 draaien

[Marve79]

Parralels is toch iets heel anders.

[KarelVO]

Jij denkt aan Parallels Desktop (VMs op Mac). Parallels RAS is het Citrix-alternatief; ik werk er en we krijgen dagelijks tientallen organisaties in de inbox die vinden dat Citrix het te bont maakt (zowel op product- als commercieel vlak) en ze zoeken naar een oplossing die hetzelfde doet voor een fractie van de complexiteit en de prijs. En niet om de haverklap met dit soort nieuws in de krant komt

[Marve79]

Dat bedoel ik, Parallels is een alternatief voor Citrix virtual apps, maar niet voor Netscaler.

Bedrijven doen vaak meer met Netscaler dan enkel VDI aanbieden.

[sambalbaj]

Werd vrijdag al voor gewaarschuwd bij Rijksoverheid ivb thuiswerken.

Managed laptops dan weer geen probleem.

[SunnieNL]

Geruchten gingen zelfs al een week in de rondte. Blijkbaar is er gekozen dit nog even stil te houden voor de patch.

[PCG2020]

Ik kan sinds vrijdagmiddag al niet inloggen omdat er netwerkproblemen zijn. De applicaties die ik en mijn collega's gebruiken draaien vrijwel allemaal in de cloud, dus wij kunnen helemaal niets doen 😑

[jb044]

Yup, advies is bij ons: werk vandaag thuis.

[toxict]

LOL!

En met de postduif+USB stick aan z'n pootje data uitwisselen tussen kantoor en thuis?

[jb044]

Valt mee, in mijn geval ben ik niet zo afhankelijk van Citrix, of een centrale omgeving. Maar daarin ben ik een uitzondering vanwege mijn werkzaamheden die ik anders niet kan doen ivm veel te strakke policies in de corporate omgevingen. Sommige dingen kan ik dan doen door inderdaad met een VPN te verbinden en dan slim te proxieen. Gok dat dit voor anderen wel een probleem gaat worden vandaag. Er was ook iets met het kantoornetwerk, weet er het fijne niet van, mogelijk gerelateerd aan dit news item, geen idee

Wel weer een mooi argument richting een eigen onafhankelijke infra voor de overheid waar laatst een mooi achtergrond artikel over was op tweakers. Natuurlijk is dat dan niet heilig of onkwetsbaar, maar daarmee zouden we wel meer de regie hebben over onze infra en kan je gelijk ook betere afwegingen maken qua architectuur wellicht. Tenminste een remote code execution exploit waarmee je gelijk de gateway servers kan platleggen klinkt ook wel als bad by design.

[SunnieNL]

Dan moet je in je eigen onafhankelijke infra wel je eigen hardware en software schrijven en 100% zorgen dat je dat foutloos doet. Anders lost een eigen infra dit niet op, met geen enkele fabrikant op de edge.

[jb044]

Hmm, als perfectie het uitgangspunt is of zelfs een eis blijft alles altijd bij het oude lijkt me. Persoonlijk vind ik het wel een positieve ontwikkeling dat in elk geval bij de overheid het huidige momentum is dat het anders moet, en dat dat ook geld mag kosten en dat opensource daarbij een middel kan zijn en niet het doel.

[SunnieNL]

Klopt allemaal, maar het probleem wat je nu hebt met Citrix hou je in alle gevallen. Wat je ook kiest. Of je het koopt of zelf bouwt, of je open source neemt of closed source.

In alle gevallen ga je tegen het punt lopen dat er een vulnerability in zit die gepatched moet worden. Dat het patch schrijven en installeren tijd kost en je daardoor dus offline bent voor bepaalde tijd om grotere problemen te voorkomen.

De enige manier die ik kan bedenken is als je twee verschillende vendoren/systemen hebt die hetzelfde doen. Heeft de ene zo'n groot probleem als nu, dan kun je switchen naar het andere systemen. Er blijft echter nog steeds een kans dat ze beiden op hetzelfde moment een probleem hebben, al is dat risico wel een stuk kleiner.

Dus keuze, is het een probleem dat je 1-3 dagen offline moet. Wat kost dat het bedrijf. En wil je om dat te voorkomen een 2de systeem in de lucht houden, onafhankelijk van de andere. Het blijft een kosten/risico afweging.

[ShadowBumble]

LOL!

En met de postduif+USB stick aan z'n pootje data uitwisselen tussen kantoor en thuis?

Beetje kort door de bocht dit, ze kunnen ook moeten thuis werken omdat lokaal er problemen zijn door de patching hiervan en dat als je thuiswerk je een connectie maakt met VPN ?

Of misschien willen ze gewoon zo min mogelijk mensen lokaal op het netwerk voor onderzoek/threat hunting ?

[zzzzap]

Bij ons is het advies, kom naar kantoor: remote kan je niet bij je werkplek

[pOZOR jED]

Het is ook bijna geen nieuws meer als Citrix lek is...

[CyberTijn]

Ben zo blij dat ik 3 jaar geleden afscheid heb genomen van die Netscalers. Wat een gedrocht was het.

[craymour]

Alles waar de naam Citrix in voorkomt flikkeren wij als organisatie er binnenkort uit. Mede door dit elke keer en mede door hun Licentie modellen tegenwoordig. Opzouten ermee.

[erbkaiser]

Ik werk niet voor een ziekenhuis, maar wel voor overheid, en de remote werk omgeving ligt volledig plat vanwege dit Citrix issue. Het advies was om naar kantoor te komen maar daar zijn maar weinig werkplekken, dus heel veel collega's zitten net zoals ik thuis niets te doen.

[Joostv85]

Dit laat wel weer zien hoe kwetsbaar een behoorlijk kritieke infrastructuur kan worden door één component. Dat patiënten tijdelijk niet bij hun dossier kunnen en medewerkers niet op afstand kunnen werken, maakt de impact meteen heel concreet.

Wel goed dat er inmiddels patches beschikbaar zijn en dat organisaties de systemen uit voorzorg offline halen waar nodig. Hopelijk worden dit soort kwetsbaarheden voortaan ook zo snel mogelijk gedetecteerd en gemitigeerd, want bij dit soort systemen is “even wachten met patchen” simpelweg geen optie.