Meerdere organisaties in Finland zijn via kwetsbaarheden in Citrix NetScaler gehackt, zo heeft de Finse overheid gisterenavond bekendgemaakt. Om hoeveel organisaties het precies gaat en in welke sectoren die actief zijn laat het National Cyber Security Centre Finland (NCSC-FI) niet weten. Volgens de overheidsinstantie vonden de Citrix-inbraken al voor het uitkomen van de beveiligingsupdates op 27 september plaats. Deze week waarschuwde staatssecretaris Van der Burg van Binnenlandse Zaken dat mogelijk meerdere Rijksoverheidspartijen via de Citrix-lekken zijn gehackt.

Citrix kwam op 27 september met beveiligingsupdates voor verschillende kwetsbaarheden in NetScaler ADC en NetScaler Gateway, waaronder twee beveiligingslekken (CVE-2026-88771 en CVE-2026-88772) waar aanvallers al actief misbruik van maakten. Via de twee kwetsbaarheden kunnen ongeauthenticeerde aanvallers kwetsbare Citrix-systemen op afstand overnemen. Citrix NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven.

Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd Citrix NetScaler-systeem kan dan ook groot zijn. Misbruik van CVE-2026-88771 en CVE-2026-88772 zou al weken voor het uitkomen van de patches plaatsvinden. Via de beveiligingslekken installeren de aanvallers een webshell om toegang tot het gecompromitteerde Citrix-systeem te behouden en verdere aanvallen uit te voeren.

Omdat de aanvallen al voor het uitkomen van de beveiligingsupdates plaatsvonden is alleen het installeren van de patches mogelijk niet voldoende, aldus NCSC-FI. Dat adviseert organisaties die met Citrix NetScaler werken om voor het installeren van de updates eerst te controleren of hun Citrix-systemen niet zijn gehackt. Daarbij stelt de Finse overheidsinstantie dat misbruik van de kwetsbaarheden in Finland heeft plaatsgevonden voordat de patches beschikbaar waren. Finse organisaties waarvan de Citrix-systemen zijn gehackt worden opgeroepen dit bij de autoriteiten te melden.