Amerikaanse overheidsinstanties moeten een kritieke en actief misbruikte Citrix-kwetsbaarheid uiterlijk mogen hebben gepatcht, zo heeft het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security bepaald. Het Nationaal Cyber Security Centrum (NCSC) verwacht op korte termijn grootschalig misbruik van het beveiligingslek.

Via de kwetsbaarheid, aangeduid als CVE-2025-7775, kan een ongeauthenticeerde aanvaller op afstand code op kwetsbare Citrix-systemen installeren. Gisteren kwam Citrix met beveiligingsupdates, maar misbruik vond al voor het uitkomen van de patches plaats. Het CISA houdt een overzicht bij van actief aangevallen kwetsbaarheden, de Known Exploited Vulnerabilities Catalog. Een "Binding Operational Directive" verplicht federale Amerikaanse overheidsinstanties, zoals ministeries en agentschappen, om kwetsbaarheden op de lijst binnen een bepaalde tijd te patchen.

Normaliter hanteert het CISA een periode van drie weken voor het patchen van actief aangevallen kwetsbaarheden. In het geval van CVE-2025-7775 kwam het cyberagentschap gisterenavond met de opdracht aan overheidsinstanties dat de Citrix-update uiterlijk morgen moet zijn geïnstalleerd. Het installeren van de update maakt een eerdere hack van het systeem niet ongedaan.

Het NCSC adviseert organisaties met klem de update zo spoedig mogelijk te installeren. "De kwetsbare configuratie die door Citrix is aangegeven is dermate veel voorkomend dat het NCSC op korte termijn grootschalig misbruik verwacht." Het NCSC kwam ook met een script waarmee organisaties kunnen controleren of hun Citrix-systeem is gecompromitteerd.