Meerdere Rijksoverheidspartijen zijn mogelijk gehackt via kwetsbaarheden in Citrix NetScaler, zo heeft staatssecretaris Van der Burg van Binnenlandse Zaken in een brief aan de Tweede Kamer laten weten. "Citrix wordt bij de rijksoverheid breed gebruikt. Een inbraak op Citrix kan daarom grote impact hebben", aldus de bewindsman. Op 27 september kwam Citrix met beveiligingsupdates voor verschillende kwetsbaarheden in NetScaler ADC en NetScaler Gateway, waaronder twee beveiligingslekken (CVE-2026-88771 en CVE-2026-88772) waar aanvallers al actief misbruik van maakten.

Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd Citrix NetScaler-systeem kan dan ook groot zijn. Misbruik van CVE-2026-88771 en CVE-2026-88772 zou al weken plaatsvinden. Via de beveiligingslekken installeren de aanvallers een webshell om toegang tot het gecompromitteerde Citrix-systeem te behouden en verdere aanvallen uit te voeren.

Door middel van de twee kwetsbaarheden kunnen ongeauthenticeerde aanvallers kwetsbare Citrix-systemen op afstand overnemen. Gisteren meldde Google dat misbruik van CVE-2026-88772 al zeker sinds begin september plaatsvindt en dat Citrix-systemen van overheidsinstanties, financiële dienstverleners, techbedrijven, onderwijsinstellingen en juridische en professionele dienstverleners in Europa en de Verenigde Staten zeer waarschijnlijk zijn gehackt.

Naar aanleiding van de kwetsbaarheden gaf het Nationaal Cyber Security Centrum (NCSC) het advies aan overheidsinstanties om Citrix-voorzieningen uit voorzorg af te koppelen van het internet. "De Citrix-voorzieningen zijn nog niet in alle gevallen weer beschikbaar voor werken op afstand. Er wordt momenteel getest of de patch goed werkt en niet zelf leidt tot verstoringen. Daarnaast wordt er sporenonderzoek uitgevoerd. Waakzaamheid is geboden, omdat aanvallers hebben mogelijk de tijd hebben gehad zich in de systemen te nestelen", aldus Van der Burg.

Afsluitend schrijft de staatssecretaris dat CIO Rijk en het NCSC met meerdere Rijksoverheidspartijen in contact staan die mogelijk door de Citrix-kwetsbaarheden zijn getroffen. "Omwille van het onderzoek doe ik hierover geen nadere mededelingen. We houden de situatie nauwgezet in de gaten en monitoren de ontwikkelingen." Het NCSC adviseert organisaties om er rekening mee te houden dat hun Citrix-systemen zijn gehackt als die voor het installeren van de update vanaf het internet toegankelijk waren. Vorig jaar wisten aanvallers via een ander Citrix-lek bij het Openbaar Ministerie in te breken.