Nederlandse ziekenhuizen brengen patiëntenportals langzaam weer online

Verschillende ziekenhuizen in Nederland brengen hun patiëntenportals langzaamaan weer online. Vanwege ernstige kwetsbaarheden in Citrix-systemen hadden ziekenhuizen delen van hun IT-omgevingen preventief offline gehaald. Het Amphia-ziekenhuis in Breda is nog niet toe aan herstel.

In een update van vandaag (28 september) meldt Amphia: 'De ict-storing duurt nog voort en mijnAmphia is daardoor tijdelijk niet bereikbaar.' De storing ontstond doordat het ziekenhuis afgelopen zaterdag uit voorzorg systemen uitschakelde. "Er is geen sprake van een hack. De zorg gaat gewoon door", stelt Amphia.

Diverse andere ziekenhuizen schakelden afgelopen weekend ook IT-systemen uit voor hun patiëntenomgevingen. Het Frisius MC in Friesland en het Elisabeth-TweeSteden Ziekenhuis in Noord-Brabant hebben deze noodmaatregel inmiddels weer teruggedraaid. De patiëntomgevingen van die ziekenhuizen zijn weer online, meldt Security.nl.

Alarm en noodmaatregelen

De ziekenhuizen haalden Citrix-systemen en daarvan afhankelijke IT-omgevingen offline na een waarschuwing van het Nationaal Cyber Security Centrum (NCSC). Dat cybersecurityorgaan van de Nederlandse overheid waarschuwde voor acht kwetsbaarheden in Citrix-systemen. Van de twee ernstigste kwetsbaarheden (CVE-2026-88771 en CVE-2026-88772) is bevestigd dat die actief worden misbruikt.

Zorgexpertisecentrum Z-Cert waarschuwde ziekenhuizen uit voorzorg voor de problemen en adviseerde om maatregelen te nemen, zoals de systemen uitschakelen. Leverancier Citrix biedt patches voor de kwetsbaarheden. Installeren daarvan dekt de beveiligingsgaten wel af, maar aanvallers die al zijn binnengedrongen zouden nog altijd toegang kunnen hebben tot de gepatchte systemen.

Beeld: Getty Images/Cultura RF

Reacties (22)

[sojab0on]

Leverancier Citrix biedt patches voor de kwetsbaarheden. Installeren daarvan dekt de beveiligingsgaten wel af, maar aanvallers die al zijn binnengedrongen zouden nog altijd toegang kunnen hebben tot de gepatchte systemen.
wat ik me in deze dan afvraag is hoe zou je toegang tot een gepatcht systeem moeten krijgen als het gat wat je hier voor misbruikt ineens dicht is.

[xxs]

Als er al toegang verkregen is voor het patchen kan er een achterdeurtje gemaakt zijn waardoor je na het patchen nog steeds toegang kunt krijgen.

[Miepermans]

Dat is niet zo moeilijk, De aanvaller zal altijd als eerste een veilig, nieuw pad creeeren om binnen te komen. Dat zorgt ervoor dat ze (wanneer er, zoals hierboven aangegeven wordt gepatched wordt) nogsteeds toegang houden. Mocht je het interessant vinden, dan moet je dit artikel maar eens doorlezen Cyber Kill Chain explained Het gaat dan eigenlijk om stap 6, waarbij ze een alternatief c&c kanaal bewerkstelligen.

[SunnieNL]

Doordat je een andere toegang installeert op het device of in de achterliggende infrastructuur voor het geval beheerders het gat waar je op binnen kwam dicht zetten.

Aanvallers openen in de meeste gevallen direct 1 of meer extra deuren.

[helm71]

Als je kon inbreken in een huis omdat het raam open stond en je bent binnen geweest heb je binnen al een ander raampje open gezet of een kopie van de sleutel gemaakt waardoor je er nog in kunt als dat eerste raampje dicht is..

[nullbyte]

Dat is persistence: https://attack.mitre.org/tactics/TA0003/

"The adversary is trying to maintain their foothold."

Het gat kan wel dicht zijn maar dat is slechts de initiele ingang. Als je binnen bent gekomen door een defect slot in de voordeur kan je simpelweg een raam open zetten en daar in het vervolg door naar binnen en buiten gaan als het slot gemaakt is.

[Reactie gewijzigd door nullbyte op 28 september 2026 22:44]

[arjankoole]

Het eerste wat een aanvaller doet na het verkrijgen van toegang, is additionele toegang creeeren voor als het lek gedicht wordt. Op die manier hopen ze lange termijn toegang te hebben.

Sommige aanvallers hebben zelfs op een SEO spam install in een website een enorm lange adem (vele maanden) en idioot vernuft om zichzelf te verstoppen.

[tweaker2010]

Wat een bijzondere berichtgeving is dit toch.

De kwetsbaarheid draait om de Netscaler en dit woord wordt nergens genoemd. Jullie hebben het enkel over "Citrix systemen".

Ik dacht dat dit een techsite was, maar het blijkbaar kan ik net zo goed naar Nu.nl voor wat informatie.

[Jay47]

Netscaler is een onderdeel van Citrix.

[Ootje70]

Ja dat klopt maar Citrix heeft veel meer onderdelen dan de Netscalers. Dit zijn trouwens de zoveelste kwetsbaarheden op de Netscalers dit jaar en elke keer moeten de organisaties hun Citrix omgeving updaten, gelukkig vaak met HA installaties maar toch...

De vraag is vooral, waarom zou je als organisatie je webportals afsluiten als je een probleem hebt met de interne systemen en externe toegang voor je gebruikers?

[Paul]

Omdat die webportals extern ontsloten worden door de Netscalers. Er zijn geen problemen met interne systemen, er zijn problemen met het systeem dat aan de rand staat en de externe toegang regelt

[Ootje70]

Ah, ik dacht dat dit vooral op de interne toegang tot de Citrix-omgeving een risico veroorzaakt maar dus ook als 'toegangspoort' tussen het portaal en de interne systemen. Maar is dat altijd het geval, als het patiëntenportaal extern wordt beheerd, gaat dan de ontsluiting van de data uit het ZIS naar het portaal ook via de Netscaler? Ik begrijp van wel?

[Paul]

Nee, het gaat hier specifiek over de NetScalers, niet over XenApp of XenDesktop. Het risico zat (ik hoop dat iedereen ondertussen gepatcht heeft) dus op alles wat via de NetScaler loopt, niet alleen toegang tot een thuiswerkplek (van welke leverancier dan ook).

Waar die ziekenhuizen hun patiëntenportalen beheren durf ik niet te zeggen, maar dat maakt niet uit; het gaat om waar ze het hosten, maar de webserver zal in vrijwel alle gevallen in hetzelfde datacenter staan als de database server en de (in dit geval) NetScaler. Het verkeer tussen de webserver van het patiëntenportaal en jouw browser gaat sowieso via de NetScaler. Of de data van de databaseserver (die ik aanneem dat erachter zit) naar de webserver ook via een Netscaler loopt durf ik niet te zeggen. Aangezien men aangeeft dat de zorg niet getroffen is neem ik aan dat dit ofwel niet het geval is, ofwel dat men eventuele interne NetScalers (niet van buitenaf benaderbaar, en ingezet als load balancers ipv reverse proxy) niet uit heeft gezet.

Ik heb meer verstand van Netscalers dan van Chipsoft, maar ik neem aan dat de architectuur een redelijk typische vorm aanneemt: DB server -> webserver -> firewall -> reverse proxy (lees: Netscaler) -> firewall -> internet -> mensen die het patiëntenportaal willen bezoeken. Met waarschijnlijk nog ergens een load balancing-functionaliteit, mogelijk nog in LAN (tussen webservers en firewall), mogelijk in het DMZ (dan waarschijnlijk op dezelfde NetScaler als de reverse proxy-functionaliteit).

Voor ziekenhuizen die hun EPD compleet uitbesteden (ik weet dat zowel Chipsoft als Epic hosted EPD's aanbieden) zal dit vergelijkbaar zijn. De opzet (db -> web -> reverse proxy -> gebruiker, met her en der firewalls) zal gelijk zijn als on premises, maar ik heb geen idee welke apparatuur / software Chipsoft of Epic gebruiken als reverse proxy

[hherrie]

In het bericht dat gisterochtend was geplaatst, stond daar meer over: nieuws: Patiënten kunnen niet bij ziekenhuisdossiers vanwege Citrix-kwetsbaarheden

Maar daar had best even naar kunnen worden verwezen, geef ik gelijk toe.

[reshi]

Ligt het aan mij of snap ik dit bericht niet helemaal? Wat heeft Citrix met het ChipSoft patiëntenportaal te maken wat op andere techniek draait? En het leest alsof alle ziekenhuizen in Nederland hier last van hebben of hun Citrix dan wel patiënten omgeving offline hebben gehaald maar er zijn nog genoeg ziekenhuizen die helemaal ging actie hebben ondernomen en nooit offline zijn gegaan of helemaal geen ChipSoft of Citrix gebruiken.

[sojab0on]

die portalen lopen of via Citrix omgevingen of via netscalers van Citrix om zo te zorgen dat alleen mensen die er bij horen te kunnen er bij kunnen komen.

veel overheden en ziekenhuizen gebruiken Citrix omgevingen vandaar de link naar het patiënten portaal en Citrix

[SunnieNL]

Omdat de netscaler als waf/load balancer draait voor het patientenportaal. Dus het is afhankelijk van je inrichting.

Een netscaler kan meer dan alleen toegang verschaffen tot de vdi devices.

Ziekenhuizen met een netscaler hebben deze uit voorzorg eerder offline gehaald. Afhankelijk wat deze deed kan ook het klanten portal daarmee offline gaan.

Netscaler weer online brengen herstelt de services waar deze voor zit.

[mutsje]

Het chipsoft zorgportaal is een hele andere omgeving dan een patientportaal wat een ziekenhuis gebouwd heeft. Deze worden ontsloten middels verschillende oplossingen bijvoorbeeld de Citrix Netscaler, of een BigF5 etc. Ik snap je verwarring maar ook waar ik werk is er een patientportaal en die wordt met BigF5 naar buiten gehost. Stuk ssl ofloading etc gebeurd dan op de bijvoorbeeld Citrix netscaler of de BigF5 en niet op de webserver zelf.

[kwibox]

Amphia en ETZ gebruiken daarnaast geen HiX/Chipsoft voor hun epd maar Epic. Zoals hier onder vermeld heeft het dus niks te maken met het EPD.

't EPD op mijn werk (Amphia) doet het dan ook gewoon.

[Panzer Dean]

Deze ziekenhuizen draaien ook geen chipsoft maar Epic.

[AceAceAce]

bij het rijk hetzelfde probleem

[F5544]

Er Zijn meerdere remote citrix portalen van het rijk offline gehaald.