Veelgebruikt ICT-systeem Citrix blijkt opnieuw lek, hinder voor patiënten en thuiswerkende ambtenaren

Voor de tweede keer in ruim een jaar tijd zijn er kwetsbaarheden ontdekt in het veelgebruikte ICT-beveiligingssysteem Citrix. Daardoor konden patiënten bij meerdere ziekenhuizen afgelopen weekend hun gegevens niet inzien en ondervindt een deel van de thuiswerkende ambtenaren van de Rijksoverheid moeite met inloggen.

Het Nationaal Cyber Security Centrum (NCSC) meldt maandagochtend dat het ‘lek’ inmiddels gedicht is. De instanties moeten eerst een update van het systeem installeren, waardoor het nog even kan duren voor de problemen verholpen zijn.

Met de software NetScaler van het Amerikaanse bedrijf Citrix kunnen medewerkers op afstand toegang verkrijgen tot de virtuele werkomgeving. Bij een lek bestaat het risico dat hackers beveiligingsmaatregelen omzeilen en toegang kunnen krijgen tot interne systemen.

De NCSC zegt dat twee van de kwetsbaarheden al zijn „misbruikt”, maar een woordvoerder wil daar verder niets over kwijt. Het is niet duidelijk hoelang het lek onopgemerkt is gebleven.

Z-CERT, een expertisecentrum dat de zorgsector helpt met digitale beveiliging, kwam zondag met het bericht dat de zorg is gewaarschuwd voor „kritieke kwetsbaarheden”. Z-CERT adviseerde ziekenhuizen om de systemen preventief tijdelijk uit te schakelen of om ze scherper in de gaten te houden.

Eerder al een hack bij het OM

Het Elisabeth-TweeSteden Ziekenhuis in Tilburg en Waalwijk zegt maandagochtend dat patiënten weer kunnen inloggen, net als het Frisius MC in Leeuwarden. Bij het Amphia Ziekenhuis, met de hoofdvestiging in Breda, duurt de storing nog voort. Volgens het ziekenhuis „wordt gewerkt aan een veilige oplossing”.

Bij de Rijksoverheid zijn Citrix-omgevingen afgelopen weekend uit voorzorg losgekoppeld van het internet. Volgens een woordvoerder wordt „op korte termijn” een oplossing verwacht, maar wanneer exact is nog onzeker.

Een woordvoerder van het Openbaar Ministerie bevestigt dat ook daar nog problemen zijn, waardoor medewerkers niet op afstand kunnen inloggen in systemen. Volgens de zegsvrouw heeft dat geen gevolgen voor de rechtspraak.

In 2025 verkregen hackers via een lek in Citrix toegang tot het OM, waarna justitie de systemen noodgedwongen loskoppelde van het internet. Dat had grote impact: strafdossiers waren wekenlang niet digitaal inzichtelijk, medewerkers waren niet bereikbaar via mail en advocaten moesten stukken per post verzenden.

Lees ook

Openbaar Ministerie is offline vanwege ernstige zorgen over ICT-beveiliging, datalek niet uitgesloten