Aanvallers kwamen mogelijk binnen bij Rijksoverheid via Citrix-lekken

Door de nieuwste beveiligingsgaten in Citrix-systemen zijn aanvallers mogelijk binnengedrongen bij de Nederlandse Rijksoverheid. Dit meldt de staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties. Het gaat om systemen voor thuiswerken, die deels nog offline zijn.

"Waakzaamheid is geboden, omdat aanvallers mogelijk de tijd hebben gehad zich in de systemen te nestelen", schrijft staatssecretaris Eric van der Burg in een brief aan de Tweede Kamer. Hij meldt dat het Nationaal Cyber Security Centrum en de chief information officer (cio) van het Rijk contact hebben met meerdere partijen binnen de Rijksoverheid die mogelijk getroffen zijn door deze kwetsbaarheden. Het is niet bekend om welke instanties het gaat en hoeveel dat er zijn.

De overheid onderzoekt de kwetsbaarheden en mogelijke sporen van digitale inbraak via deze lekken. De staatssecretaris doet vanwege dat onderzoek 'geen nadere mededelingen'. De cio Rijk adviseert alle organisaties van de Rijksoverheid om hun ict-omgevingen te onderzoeken en om de komende tijd waakzaam te blijven.

Systemen ontkoppelen

Kwaadwillenden misbruikten de kwetsbaarheden in Citrix NetScaler vorige week al actief. Een patch was toen nog niet beschikbaar. Veel organisaties, zoals ziekenhuizen, schakelden daarom Citrix-systemen uit. De Nederlandse overheid deed dit ook, voor zover mogelijk.

Beheerders mochten kwetsbare systemen niet loskoppelen als dat impact zou hebben op primaire overheidstaken voor burgers, schrijft staatssecretaris Eric van der Burg. Hij geeft in zijn brief niet aan welke taken en diensten dit zijn. Loskoppelen mocht ook niet als dat onevenredig grote gevolgen zou hebben voor burgers en bedrijven. Het is niet duidelijk wanneer gevolgen als 'onevenredig groot' gelden.

Uitgaan van inbraak

De thuiswerksystemen van de Nederlandse overheid zijn nog niet allemaal beschikbaar, geeft Van der Burg aan. "Er wordt momenteel getest of de patch goed werkt en niet zelf leidt tot verstoringen. Daarnaast wordt sporenonderzoek uitgevoerd."

Het officiële advies van de overheid aan de eigen organisaties is om ervan uit te gaan dat aanvallers mogelijk zijn binnengedrongen. Daarom moeten beheerders niet alleen patches voor kwetsbaarheden installeren, maar ook systemen scannen, logs doornemen en maatregelen nemen om mogelijk verkregen toegang te beperken.

Bron: Curly_Photo/Moment/Getty Images

Reacties (33)

[Willianv]

Wij hebben de patch gisteren doorgevoerd op onze Netscalers en vervolgens last gehad van wegvallende verbindingen, niet kunnen aanmelden etc.
Leek vooral te gebeuren vanaf windows devices, vanaf apple devices ging het wel goed.

Hebben de patch uiteindelijk teruggedraaid en toegang geblokkeerd.

Tot nu toe geen oplossing.

[Yilar]

Dat is bijzonder - bij mijn werkgever is de patch wel doorgevoerd en dat heeft niet geleid tot issues, alles werkt naar behoren. (En bij ons gaat ook al het verkeer over de netscalers)

[2cents]

Netscalers zijn complexe apparaten (lees: ze hebben de wereld aan mogelijkheden) en de configuratie ervan kan erg uiteenlopen tussen verschillende organisaties.
Mogelijk dat een specifieke configuratie een issue heeft met de laatste patch.

[01001010anus]

Hier geen problemen, alle internet facing systemen al heel snel offline gehaald. Gepatched, IOC gedraaid en vele logfiles doorgespit. Voor de zekerheid alle VPX’en opnieuw uitgerold en geconfigureerd en weer online.

[toxict]

Zou het helpen om de gehele Citrix omgeving alleen via VPN beschikbaar te stellen? Dus eerst VPN naar de zaak EN DAN PAS connecten naar je Citrix?

[Paul]

Je zou verwachten dat na de vele berichten over dit onderwerp men ondertussen wel door zou hebben dat het bedrijf Citrix meer producten heeft dan alleen XenApp en XenDesktop; published apps en published desktops voor thuiswerken.

Eén van die producten is de Citrix Netscaler. Dit is (onder andere) een load balancer, reverse proxy, en belangrijk voor deze post: SSL VPN. De Netscaler wordt dus gebruikt om "de gehele Citrix omgeving (want daar bedoelt men vrijwel uitsluitend XenApp en XenDesktop mee) alleen via VPN beschikbaar te stellen". Je maakt dus verbinding met de SSL VPN, en pas dan connect je naar XenDesktop of XenApp. Precies wat je voorstelt...

Waarom deze reacties dus nog steeds komen én omhoog gemodereerd worden is me een raadsel...

[segil]

nouja, niet iedereen is een systeembeheerder die dit allemaal weet. Vraag mij bijvoorbeeld niets over gaming, of xbox of wat dan ook, want dat weet ik gewoon niet, ondanks dat best veel besproken wordt hier.

Tweakers zou bij dit soort zakelijke producten ook in 1-2 zinnen kunnen vermelden wat het product doet en voor welke doelgroep.

[Reactie gewijzigd door segil op 1 oktober 2026 09:24]

[Murder05]

Citrix is niet alleen die Virtuele Desktop die wordt aangeboden. Citrix is een bedrijf die meer biedt waaronder de Netscaler. De Netscaler wordt dus juist gebruikt om een VPN op te zetten om vervolgens naar een VDI omgeving te verbinden.
Gezien de Netscaler nu het probleem is waar de kwetsbaarheid in zit is er toch een probleem.

[par4]

Het zou helpen in dit specifieke geval. Nu worden in corporate VPN's ook geregeld kwetsbaarheden gevonden.

In het geval van Citrix Netscaler helpt het zeker . Niks is 'lekker' dan dit.

[Triblade_8472]

Maar in een dmz-achtige constructie met twee verschillende vendoren, moet de hacker vulnerabilities in twee producten hebben om binnen te komen, niet èèn.

[Cerebriform]

Ik zat ook te denken met mijn vpn kon ik nog alles doen terwijl sommige collegas van andere afdeling hiervan last hadden met Citrix.

[Dutchylex]

Dit is zeker mogelijk en heb ik zelf bij klanten gezien. Dus een Netscaler die pas benaderbaar is als je een machine vpn o.i.d. heb opgezet. Hetzelfde idee dus als je 2 vendoren gebruikt om de kans kleiner te maken op problemen. Maar dan nog blijven er risico's...

[ZinloosGeweldig]

Waarom blijft het advies gaan over patches installeren, en niet over een volledige rebuild van de systemen met een veilige versie?

[Z80]

Omdat je dan enkel en alleen de voordeur vervangt door een zelfde exemplaar maar dan nieuw uit doos. Na misbruik van een bug wordt er als het mogelijk is via een andere omgeving een achterdeur gemaakt. Dit kan zijn via een andere gateway. Of via een stukje software op een ander systeem dat naar huis belt.

De logfiles doorspitten en controle tools draaien blijft dus nodig. Waarbij het in veel gevallen geen meerwaarden heeft om een systeem opnieuw op te bouwen. En opnieuw opbouwen bij slechts 1 node is nog wel te doen. Maar in een Load balancing configuratie met een kast vol nodes wordt het een stuk lastiger. Aangezien je dan het hele cluster in 1 keer moet vervangen. Vervang je 1 voor 1 dan kan een besmette node de nieuwe weer infecteren.

[ZinloosGeweldig]

Uiteraard bouw je een nieuwe cluster en ga je geen nieuwe nodes in je cluster waar je in een assume breach scenario zit hangen...

[FrostyPeet]

Ah, Citrix. Welke hacker is er niet groot mee geworden?

De balans. Gebruiksgemak voor de ambtenaar versus bescherming van burger gegevens. Blijft toch lastig.

Je zou toch zoetjes aan aannemen dat na het vijfde schandaal er eens gekeken kan worden naar een structureel ander systeem. Helemaal omdat de overheid een prachtig doelwit is voor hackers. Die blijkbaar er heel snel bij zijn om de laatste kwetsbaarheden uit te buiten.

Misschien kan er ook eens nagedacht worden of inderdaad alles aan internet gekoppeld moet worden onder het motto van efficiënt?

Maar goed, het zijn vermoedens, eerst even een paar weken afwachten tot er een grondig onderzoeksrapport is, voordat men weer "geschokt" mag reageren.

[01001010anus]

“Ah, Citrix. Welke hacker is er niet groot mee geworden?”

Citrix komt bij lange na niet in de top 10 van leveranciers met de meeste 0-day vulnerabilities.

[CivLord]

De balans. Gebruiksgemak voor de ambtenaar versus bescherming van burger gegevens. Blijft toch lastig.
[...]
Misschien kan er ook eens nagedacht worden of inderdaad alles aan internet gekoppeld moet worden onder het motto van efficiënt?

Citrix maakt o.a. thuiswerken mogelijk.
Door bezuinigingen is er tegenwoordig niet meer genoeg kantoorruimte beschikbaar om alle ambtenaren tegelijk te huisvesten. Het is dus eerder de mogelijkheid om te werken dan enkel gebruiksgemak.

En Avanti heeft de laatste tijd ook een paar behoorlijke steken laten vallen.

[Triblade_8472]

Het zou ook vreselijk veel helpen als Citrix die buggy mess die ze Netscaler noemen afbrand en een pure ICA proxy gaat maken, net als vroeger, maar dan veiliger. Gewoon super simpel houden, dan kunnen er ook minder lekken in ontstaan.

Voor de rest van de features (die amper gebruikt worden volgens mij) kunnen ze een andere appliance voor bouwen, een F5 concurrent.

[01001010anus]

Ja en f5 had vorige week geen 0-day??

[Triblade_8472]

En dààrom zou Citrix geen Netscaler meer moeten hebben, maar twee losse producten. Een voor ICA proxy en een als F5 alternatief. Niemand wil de Netscaler ècht hebben namelijk, maar kunnen geen Citrix zonder aanbieden.

Buiten dat, 2 verschillende producten is al een berg beter omdat een hacker dan 2 producten moet aanvallen ipv 1.

Daarnaast, wat is je punt eigenlijk?

[WargamingPlayer]

Citrix Netscape wordt door heel veel bedrijven geleverd, alleen onder een ander naampje.

Maar ooit heeft iemand bedacht dat je de Netscaler of een Netscaler Cluster rechtstreeks aan het internet kan hangen met de publieke interface en de bijbehorende VIP’s rechtstreeks aan het internet.

Toen ik nog Netscalers implementeerde zei ik al, nooit doen. Maar tja, kosten. Want een fysieke firewall er voor zetten kost extra en de Netscaler is daar toch goed in zeggen ze.

Probleem is, Netscaler is gewoon een aangepaste Linux versie met alle gevaren van een OS daarbij.

[Zadelpijn]

Beheerders mochten kwetsbare systemen niet loskoppelen als dat impact zou hebben op primaire overheidstaken voor burgers, schrijft staatssecretaris Eric van der Burg.

Meer dan insane.

[Saph]

Dit is echt een basis beveiligingsmaatregel en response: Netwerksegmentatie en afsnijden/koppelen van netwerken en/of systemen als er iets gebeurd.

Diegene die dit verboden heeft zou hier geen zeggenschap over mogen hebben.

[M3m3nt0m0r1]

Een week?
Wat denk je van bijna een maand???
https://www.security.nl/p...isbruikt+bij+aanvallen%27

[Coolhva]

Het hele probleem van dit verhaal is dat men toegang krijgt tot citrix netscalers voordat men geauthenticeerd is. Als alleen verbindingen worden toegestaan waarbij eerst ingelogd is, dan verklein je het aanvalsoppervlak en zal een volgend lek veel minder impact hebben. Dit is de kern van Zero Trust (Network Access), ZTNA.

Natuurlijk moet de voordeur van de ZTNA aanbieder ook goed dicht zitten, maar die draait in de cloud en moet toegang verlenen tot duizenden klanten, dus die zit een stuk beter dicht en is sneller gepatched dan on premise.

Laten we hopen dat dit de transitie naar ZTNA versnelt, want zo doorgaan en een andere uitkomst verwachten is waanzin.

[Robru1]

Vandaag weer een nieuwe melding: https://advisories.ncsc.nl/2026/ncsc-2026-0394.html

[rulaan]

Het is een aanpassing van de bestaande melding.

[Cobb]

Hey top! Inmiddels lijkt vanmiddag het lek gedicht is na drie dagen plat Citrix weer in gebruik genomen.

[SVMartin]

Altijd nog beter dan niets doen, er na 2 weken achter komen dat je toch eerder had moeten patchen, en dan maanden nodig hebben om weer alles opnieuw uit te rollen.