Casus: Citrix kwetsbaarheid (Update 13-08-2025)

Nieuwsbericht | 13-08-2025 | 13:13

Sinds het NCSC op 16 juli misbruik van de Citrix-kwetsbaarheid op het spoor kwam is er veel onderzoek gedaan naar deze cyberaanval. Er is nog veel onzekerheid welke organisaties gecompromitteerd zijn, of de actor nog actief is en wat de impact is van deze aanvallen. Het onderzoek zal nog blijven voortduren, maar inmiddels kan er geconcludeerd worden dat mogelijk niet al deze vragen beantwoord kunnen worden.

In het kort

• Het NCSC stelt vast dat er meerdere kritieke organisaties binnen Nederland succesvol aangevallen zijn via een kwetsbaarheid met kenmerk CVE-2025-6543 in Citrix NetScaler.
• Het NCSC duidt de aanvallen als het werk van een of meerdere actoren met een geavanceerde werkwijze. Zo is de kwetsbaarheid als zero-day misbruikt en zijn er actief sporen gewist om compromittatie bij de getroffen organisaties te verbergen. Het onderzoek loopt nog, maar inmiddels kan er geconcludeerd worden dat mogelijk niet alle vragen over deze digitale aanval beantwoord kunnen worden.
• Citrix heeft updates beschikbaar gesteld om de kwetsbaarheid te verhelpen. Het updaten van systemen is niet voldoende om het risico op misbruik weg te nemen.
• Het NCSC adviseert organisaties om hun weerbaarheid te verhogen door het toepassen van defense-in-depth beheersmaatregelen. Dit draagt bij aan de verhoging van de weerbaarheid tegen deze specifieke aanval maar ook voor vergelijkbare aanvallen via nieuwe kwetsbaarheden.
• Bij het aantreffen van Indicators of Compromise (IOC’s) van deze specifieke aanval is vervolgonderzoek nodig om vast te stellen of er daadwerkelijk compromittatie heeft plaatsgevonden. Neem in dat geval contact op met cert@ncsc.nl voor verdere ondersteuning.

• Op de Github-pagina van het NCSC (https://github.com/NCSC-NL/citrix-2025) zijn twee nieuwe checkscripts gepubliceerd die het NCSC heeft ontwikkeld om technisch onderzoek te doen op Citrix NetScaler ADC en NetScaler GateWay apparaten. Deze checkscripts stellen organisaties in staat om zelf onderzoek te doen naar mogelijke compromittaties van hun systemen.

Checkscripts met indicators of compromise

Op de Github-pagina van het NCSC (https://github.com/NCSC-NL/citrix-2025) zijn twee nieuwe checkscripts gepubliceerd die het NCSC heeft ontwikkeld om technisch onderzoek te doen op Citrix NetScaler ADC en NetScaler GateWay apparaten. Deze checkscripts stellen organisaties in staat om zelf onderzoek te doen naar mogelijke compromittaties van hun systemen.

De checkscripts zijn voorzien van nieuwe indicators of compromise die zijn geïdentificeerd naar aanleiding van recent forensisch onderzoek van het NCSC en zijn nog niet eerder gecommuniceerd. Organisaties worden daarom opgeroepen om de nieuwe checkscripts uit te voeren op hun Citrix NetScaler apparaten.

Als forensisch onderzoek door middel van de checkscripts niet (tijdig) wordt uitgevoerd, bestaat de kans dat compromittatie van systemen onopgemerkt zal blijven en de kwaadwillende actor toegang behoudt.

Het ene checkscript richt zich op coredumps, het andere checkscript richt zich op complete NetScaler images. Hoe je de scripts moet uitvoeren is terug te lezen in de readme-files die op de Github staan.

Indien je verdenkt dat jouw Citrix Netscaler ADC en Netscaler Gateway systemen gecompromitteerd zijn door het aantreffen van een of meer van de toegevoegde IOC’s, neem contact met ons op.

Situatie

Citrix NetScaler: wat is het?

Citrix NetScaler zorgt ervoor dat websites en applicaties snel en betrouwbaar bereikbaar blijven. Een NetScaler Gateway wordt onder andere gebruikt om thuiswerken te faciliteren. Medewerkers kunnen via NetScaler Gateway op afstand toegang krijgen tot bedrijfsomgevingen en intranet van een bedrijf of organisatie.

Citrix NetScaler ADC en Citrix NetScaler Gateway zijn netwerkoplossingen die zich richten op digitale beveiliging en toegang tot applicaties en bedrijfsomgevingen. NetScaler ADC (Application Delivery Controller)  fungeert als een load balancer die zorgt voor een verdeling van netwerkverkeer over meerdere servers, beveiliging en beschikbaarheid van on-premise en cloudtoepassingen. 

Kwetsbaarheden

Bij meerdere organisaties in Nederland en in het buitenland zijn Citrix-apparaten aangetroffen die kwetsbaar zijn voor de kwetsbaarheden met kenmerken CVE-2025-5349, CVE-2025-5777 en CVE-2025-6543. Overigens betekent dit niet dat deze kwetsbaarheden op alle kwetsbare Citrix systemen ook misbruikt zijn. Het NCSC heeft voor de kwetsbaarheden beveiligingsadviezen opgesteld. 

Risico op misbruik

Het NCSC doet op dit moment onderzoek naar mogelijk misbruik van de drie kwetsbaarheden in Citrix-apparaten. Bij het onderzoek zijn kwaadaardige webshells op Citrix-apparaten aangetroffen. Een webshell is een stuk malafide code die een aanvaller op afstand toegang geeft tot het systeem. De aanvaller kan een webshell plaatsen door misbruik van een kwetsbaarheid. Het NCSC heeft contact opgenomen met partijen waar mogelijk misbruik is gevonden. Dit neemt het belang van dat organisaties zelfnader onderzoek doen niet weg.

Het patchen van een kwetsbaarheid betekent niet dat het probleem is opgelost. Een kwaadwillende kan de eerder verkregen toegang tot een systeem behouden, ook nadat de kwetsbaarheid is gepatcht. Hierdoor blijft het risico op aanhoudend misbruik aanwezig doordat de kwaadwillende kan terugkeren op het eerder gecompromitteerde systeem.

Duiding

Het NCSC stelt vast dat er meerdere kritieke organisaties binnen Nederland succesvol aangevallen zijn.

Zero-day kwetsbaarheid

Nader onderzoek wijst uit dat de kwetsbaarheid sinds ten minste vanaf begin mei is misbruikt door de aanvaller. Op 25 juni publiceerde Citrix informatie over kwetsbaarheid CVE-2025-6543 en bood een patch aan om deze te verhelpen. We spreken hiertoe over een zero-day aanval, aangezien de kwetsbaarheid is misbruikt voordat deze publiek bekend werd gemaakt.

Actief sporen gewist

Forensisch onderzoek bij getroffen organisaties laat zien dat er actief sporen zijn uitgewist door de aanvaller. Dit maakt forensisch onderzoek uitdagend. Zoals onderstaande afbeelding illustreert, zijn in het onderzoek naar nieuwe indicatoren van deze kwetsbaarheid belangrijk om nieuwe besmettingen vast te stellen:

Op dit moment lopen er verschillende onderzoeken naar de reikwijdte, aard en impact van de aanvallen. Samen met getroffen organisaties, incidentresponspartijen en partners uit de veiligheidsketen vinden we nog steeds nieuwe indicatoren, waarmee we  andere organisaties in Nederland helpen om hun eigen onderzoek te verrichten. Doordat organisaties actief delen met het NCSC, wordt onderzoek steeds beter en versterken bevindingen elkaar.  Tezamen krijgen we steeds meer zicht op de impact die deze aanvallen hebben zodat we daar passend op kunnen reageren.

Meer informatie

https://advisories.ncsc.nl/advisory?id=NCSC-2025-0196 (CVE-2025-5349 & CVE-2025-5777)

https://advisories.ncsc.nl/advisory?id=NCSC-2025-0203 (CVE-2025-6543)

https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX693420

https://www.ncsc.nl/documenten/factsheets/2024/juni/10/kennisproduct-omgaan-met-edge-devices 

https://www.ncsc.nl/wat-doet-het-ncsc-voor-jou/incident-respons