Federale Amerikaanse overheidsdiensten moeten beveiligingsupdates voor twee actief aangevallen kwetsbaarheden in producten van Citrix en F5 binnen drie dagen installeren. Het Amerikaanse cyberagentschap CISA heeft hiervoor het bevel gegeven. Het Cybersecurity & Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security heeft de bevoegdheid om overheidsinstanties op te dragen wanneer updates voor actief aangevallen beveiligingsupdates moeten zijn geïnstalleerd.
De aangevallen kwetsbaarheden worden bijgehouden op de Known Exploited Vulnerabilities (KEV) Catalogus. Lange tijd hanteerde het CISA een standaard termijn van drie weken voor het installeren van patches, mocht dat nog niet door overheidsinstanties zijn gedaan. Inmiddels is dat teruggebracht naar twee weken. In het geval van CVE-2025-53521, aanwezig in de BIG-IP-producten van F5, en CVE-2026-3055, aanwezig in Citrix NetScaler ADC en Citrix NetScaler Gateway, moeten de beschikbare beveiligingsupdates binnen drie dagen geïnstalleerd zijn. Updates voor deze twee problemen zijn respectievelijk sinds 15 oktober vorig jaar en 23 maart van dit jaar beschikbaar.
Via de kwetsbaarheden kunnen aanvallers systemen op afstand overnemen. Vanwege de rol die de F5- en Citrix-producten binnen organisaties spelen kan dit grote gevolgen hebben. Het BIG-IP-platform van F5 wordt voor verschillende toepassingen gebruikt, zoals load balancing en application delivery, maar ook voor remote access via vpn-toegang. Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt.
Beide appliances zijn daarmee een geliefd doelwit voor aanvallers en in het verleden zijn andere kwetsbaarheden in deze producten geregeld misbruikt bij aanvallen. Het CISA stelt dat beveiligingslekken in de KEV Catalogus een groot risico voor de federale overheid vormen en dat de opgegeven termijn om de updates te installeren niet vrijblijvend is, maar een bindende operationele richtlijn.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Medior Information Security Officer
Als Medior Information Security Officer in Rotterdam versterk je onze digitale veiligheid in een organisatie die volop in cloudtransitie is. Je werkt met moderne cloud technologie én uitdagende legacy. Krijg jij energie van échte impact? Dan is dit jouw plek.
Senior Information Security Officer
Stap in de rol van Senior Information Security Officer in Rotterdam waar je iedere dag zichtbaar impact maakt op hoe we onze organisatie beschermen. Klaar om verder te lezen en te ontdekken waar jij het verschil kunt maken?
Digital Designer
Ben jij een Grafisch vormgever, UI/UX-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, en op zoek naar een unieke en uitdagende baan waar je al je creativiteit in kwijt kan? Dan ben je bij Certified Secure aan het juiste adres! Je werkt samen met onze security developers aan onze Gamified Cybersecurity Challenges.
