Op vrijdag 25 september waarschuwde het NCSC vertrouwelijk de Rijksoverheid en vitale organisaties voor twee ernstige lekken in Citrix NetScaler ADC en NetScaler Gateway (CVE-2026-88771 en CVE-2026-88772), die al actief werden misbruikt terwijl er nog geen patch was. Die kwam zondagavond 27 september. Volgens Google loopt het misbruik zeker sinds begin september, bij overheden, financiële dienstverleners, onderwijs en zakelijke dienstverleners in Europa en de Verenigde Staten. Het NCSC adviseerde overheidsorganisaties hun Citrix-voorzieningen uit voorzorg van het internet te halen, en CIO Rijk gaf het devies “assume breach”. Op dinsdag 29 september liet de staatssecretaris van Binnenlandse Zaken de Tweede Kamer per brief weten dat meerdere Rijksoverheidspartijen mogelijk zijn gehackt. Vorig jaar was het Openbaar Ministerie, via een ander Citrix-lek.
De reflex is voorspelbaar: patchen, afkoppelen, sporenonderzoek, en de vraag of het aan Citrix ligt. Dat laatste is de verkeerde vraag.
Elke voordeur gaat een keer open
Een NetScaler Gateway is een voordeur: het apparaat waardoor medewerkers van buiten bij applicaties, bureaubladen en het intranet komen. Precies daarom is het een doelwit. Dat geldt net zo voor de VPN-concentrators, firewalls en toegangsportalen van andere leveranciers; die halen om de beurt het nieuws met een kritiek lek. Wie denkt dat een andere voordeur het probleem oplost, koopt een ander merk slot en houdt dezelfde open gang erachter.
Het echte probleem is wat er gebeurt zodra de voordeur open is. Bij de klassieke inrichting staat een aanvaller na het binnendringen van de gateway in het netwerk: hij ziet servers, deelt sessies, pakt tokens en wachtwoorden die daar rondslingeren, en beweegt verder met de rechten van de accounts die hij tegenkomt. De webshell op de NetScaler is dan niet het incident, maar het begin ervan.
Wat je nu doet als je Citrix aan het internet hing
Het NCSC is helder: ga ervan uit dat het systeem gecompromitteerd is als het vóór de update vanaf het internet bereikbaar was. Patchen alleen haalt een webshell niet weg. Concreet, in deze volgorde:
- Isoleren en onderzoeken. Van het internet af, bestandssysteem controleren op webshells en onbekende bestanden, logs veiligstellen. Bij twijfel: schoon opnieuw opbouwen in plaats van schoonmaken.
- Alles wat door de gateway liep als gelekt beschouwen. Sessies beëindigen, tokens intrekken, wachtwoorden van beheer- en serviceaccounts vervangen, certificaten en sleutels op het apparaat vernieuwen. Een aanvaller die weken binnen was, heeft dit al meegenomen.
- Zoeken naar de tweede ingang. Nieuwe accounts, gewijzigde rechten, mailregels, onbekende apparaten in Entra ID, geplande taken op servers. Wie binnen is, maakt een achterdeur voor als de voordeur dichtgaat.
En wat je structureel verandert
De les van zeven Citrix-incidenten in vijf jaar is niet “patch sneller”, al helpt dat. De les is dat de toegang tot je applicaties niet meer aan de netwerkrand mag hangen. In een identity-first inrichting is het apparaat aan de rand niet meer de poortwachter; dat is de identiteit, per aanvraag.
Toegang per applicatie in plaats van per netwerk. Een medewerker krijgt toegang tot die ene applicatie, niet tot het segment waar hij in staat. Wie de gateway overneemt, staat dan nergens. Op het Microsoft-platform is dit Entra Private Access en app-gebonden toegang, niet een VPN-tunnel naar alles.
Phishing-resistant inloggen, ook achter de gateway. Een gestolen sessie of wachtwoord van een NetScaler heeft weinig waarde als de applicatie daarachter een passkey of Windows Hello for Business eist en de sessie aan het apparaat gebonden is.
Conditional Access als tweede poortwachter. Beheerd en gezond apparaat, bekende locatie, normaal gedrag; klopt één ding niet, dan geen toegang, ook al kwam het verzoek netjes via de gateway binnen. Risicogebaseerd beleid dat een sessie zelf beëindigt, dicht het gat tussen inbraak en ontdekking.
Beheerrechten tijdelijk en gescheiden. De schade van een overgenomen gateway wordt bepaald door wat de accounts erachter mogen. Permanente beheerrechten maken van elke inbraak een volledige.
Iemand die kijkt, ook om drie uur ’s nachts. Het misbruik liep weken voordat er een patch was. Een inlog vanaf een NetScaler naar een server waar dat account nooit komt, is zichtbaar in de logs; de vraag is wie dat ziet en wat er dan gebeurt. Dat is geen tooling-vraag maar een organisatievraag.
De vraag voor je eigen organisatie
Niet “hebben wij Citrix?”, maar: als onze voordeur morgen open blijkt te staan, wat kan een aanvaller dan bereiken voordat iemand het merkt? Als het antwoord “alles” of “weet ik niet” is, dan is dat de eerste stap, los van welk apparaat er aan de rand hangt. Een beoordeling vanuit het perspectief van een aanvaller die al binnen is, geeft precies dat antwoord: wat kan hij, hoe snel, en wat merk je ervan.
Lees ook: Zero Trust begint bij identiteit en Aanvallers werken op machinesnelheid. Jouw verdediging ook?