Patchen is niet genoeg: een kijkje achter de schermen bij een kritiek lek

De aanleiding: kritieke lekken in Citrix NetScaler

Eind september 2026 publiceerde Citrix een beveiligingsbulletin over acht nieuwe kwetsbaarheden in NetScaler ADC en NetScaler Gateway. Van twee daarvan weten we zeker dat ze al misbruikt werden vóórdat ze officieel bekend gemaakt werden. De kwetsbaarheden werden dan ook geclassificeerd als een hoog risico die met hoge prioriteit moesten worden aangepakt. Netscaler wordt namelijk veel gebruikt als toegangspoort voor thuiswerken. Dat maakt het een favoriete ingang voor aanvallers. In de weken hierna zijn nog twee beveiligingsbulletins uitgekomen over ernstige kwetsbaarheden.

Lees het nieuwsbericht op Dutch IT Channel.

Eerst even dit: wat is patchen?

Patchen is het installeren van een update die een fout in software repareert. Zo’n fout kan een kwetsbaarheid of lek zijn. Vergelijk het met een slot op je voordeur. De fabrikant ontdekt dat het slot met een trucje open te krijgen is en levert een nieuw slot: de patch. Daarna werkt het trucje niet meer. Maar was er al iemand binnen vóórdat je het slot verving? Dan loopt die persoon nog steeds door je huis. Dat is precies waarom patchen maar één onderdeel is van het werk. Achter de schermen verloopt het vaak in zes fases:

1. Het eerste signaal
2. Van gerucht naar dreigingsniveau
3. De eerste uren: inventariseren en inschatten
4. Eerst bewijs, dan de patch
5. Na de patch: zoeken naar sporen van inbraak
6. Opruimen, melden en blijven monitoren

Fase 1: het eerste signaal

Securityspecialisten wachten niet tot een lek in de krant staat. Ze houden de hele dag verschillende bronnen in de gaten. Het eerste signaal komt meestal uit een van deze hoeken:

• De securitycommunity: denk aan onderzoekers, CERT-teams of collega’s.

• Dreigingsinformatie (threat intelligence): gespecialiseerde partijen volgen wat aanvallers doen. Ze zien bijvoorbeeld dat er aanvallen plaatsvinden of dat bepaalde systemen massaal worden gescand.

• Leveranciers: onder andere Citrix en Microsoft. Zij publiceren beveiligingsbulletins waarin staat welk lek het is, welke versies geraakt zijn en welke update het oplost.

• Het NCSC: het Nationaal Cyber Security Centrum publiceert beveiligingsadviezen, met per lek een inschatting van de kans op misbruik en de mogelijke schade.

• Eigen monitoring: soms ziet een organisatie zelf vreemd gedrag op een systeem, nog voordat er iets over een lek bekend is.

Een goed beheerteam heeft die bronnen ingericht als vaste routine met als doel zo vroeg mogelijk weten dat er iets speelt, zodat je niet pas in actie komt als het al in het nieuws is.

Fase 2: van gerucht naar dreigingsniveau

Een gerucht is nog geen feit. Hoe wordt een lek officieel? Wie bepaalt hoe ernstig het is? Meestal verloopt dat zo:

1. Ontdekking: iemand vindt het lek. Een onderzoeker, je leverancier of (helaas) een aanvaller.
2. Vertrouwelijk melden: bij een nette ontdekking meldt de vinder het lek eerst bij de leverancier. De leverancier krijgt zo tijd om een oplossing te maken voordat de buitenwereld ervan weet.
3. Een nummer en een score: het lek krijgt een uniek CVE-nummer, zodat iedereen wereldwijd over hetzelfde lek praat. Vaak hoort er een CVSS-score bij: een cijfer van 0 tot 10 voor de ernst.
4. Patch en bulletin: de leverancier brengt een update uit en publiceert een bulletin met informatie over het lek en de oplossing.
5. Beoordeling door anderen: het NCSC en dreigingsorganisaties bekijken hoe groot de kans op misbruik is en wat de schade kan zijn.
6. Dreigingsniveau omhoog: wordt het lek actief misbruikt of is dat heel waarschijnlijk? Dan schalen ze het niveau op, zoals bij Citrix gebeurde, naar ‘high’.

Bij het Citrix-lek ging het niet volgens dit nette pad. Twee lekken werden al misbruikt vóórdat er een patch was. De leverancier had dus geen tijd om het lek te dichten voordat aanvallers toesloegen. Daarom was patchen alleen niet voldoende. Er moest ook gekeken worden naar of ze al geraakt waren.

Fase 3: de eerste uren, inventariseren en inschatten

Zodra het lek bevestigd is, begint de klok te lopen. De eerste vraag van het IT-team is simpel: hebben wij dit systeem? En zo ja, waar? Daarvoor zoeken ze uit:

• welke systemen de organisatie heeft;
• welke versie erop draait en of die kwetsbaar is;
• of het systeem bereikbaar is vanaf het internet;
• wie het beheert: de eigen afdeling of een leverancier?

Hier blijkt vaak of je je zaken op orde hebt.  Met een actueel overzicht van je systemen heb je dit antwoord vrijwel direct. Omdat aanvallers supersnel werken heb je eigenlijk geen tijd om hier uren of zelfs dagen over te doen.

Waarom VPN’s en gateways extra haast vragen

NetScaler is een gateway: de toegangspoort waarmee medewerkers thuis of onderweg inloggen op hun werkomgeving. Zo’n systeem staat dus altijd open voor het internet. Voor aanvallers is het aantrekkelijk hierbinnen te vallen, omdat er veel te halen valt. Wanneer ze de gateway overnemen staan ze direct binnen en kunnen ze op zoek naar systemen, accounts en gegevens. Daarnaast valt het binnendringen niet zo op. Er is nu eenmaal veel verkeer via een gateway.  

Fase 4: eerst bewijs, dan de patch

Je zou denken dat het team nu meteen de update installeert. Toch is dat niet de eerste stap. Logbestanden laten zien wie wanneer heeft ingelogd en wat er op een systeem is gebeurd. Een update of herstart kan die sporen wissen. Patch je eerst, dan kun je achteraf misschien niet meer zien of er al iemand binnen was. Daarom maakt het team eerst een kopie van de logs en andere technische gegevens. Daarna volgt de update. In de praktijk komt daar meer bij kijken dan op ‘installeren’ klikken:

Stap 1: plannen

Een gateway is vaak bedrijfskritisch. Tijdens de update kunnen medewerkers soms even niet thuiswerken. Iemand moet beslissen of de update meteen uitgevoerd moet worden of pas in de avonduren.

Stap 2: testen

Waar mogelijk wordt de update eerst getest, zodat er niets anders stukgaat.

Stap 3: tijdelijke maatregelen

Kan de patch niet direct? Dan neemt het team tijdelijke maatregelen, zoals de toegang beperken of het systeem tijdelijk afsluiten.

Stap 4: controleren

Na de update checkt het team of de nieuwe versie er echt op staat, op alle systemen.

Bij actief misbruik gaat dit niet in weken, maar in minuten tot uren. Dat vraagt om snelle beslissingen. En die beslissingen liggen niet alleen bij IT.

Fase 5: na de patch zoeken naar sporen van inbraak

De patch staat erop. Dit is het moment waarop je weer rustig kunt ademen. Alleen voor het securityteam begint hier het belangrijkste deel van het werk: zijn we nu veilig? Niet persé. Een patch beschermt je tegen nieuwe aanvallen via dat lek. Maar een patch doet niets met wat er al gebeurd is. Bij een zero-day (wanneer je geen kans hebt gehad het lek te dichten) hebben aanvallers misschien dagen of weken kunnen misbruiken zonder dat jij het wist. In die tijd kunnen ze een achterdeurtje hebben geplaatst, accounts hebben aangemaakt of inloggegevens hebben gestolen. Dat achterdeurtje blijft werken, ook na de patch.

Waar gaat het IT-team mee aan de slag?

Het team gaat op zoek naar Indicators of Compromise (IoC’s). Dat zijn herkenbare kenmerken die kunnen wijzen op een cyberaanval. Denk aan kenmerken van malware, verdachte IP-adressen of domeinnamen. Informatie hierover is onder meer te vinden in beveiligingsadviezen van het NCSC en andere betrouwbare bronnen.

Het team controleert onder meer op:

• verdachte bestanden op het systeem, zoals een webshell (een programma waarmee een aanvaller op afstand toegang kan houden);
• onbekende of onverwacht aangemaakte accounts;
• verdachte inlogpogingen vanaf ongebruikelijke locaties of op vreemde tijden;
• verbindingen met verdachte adressen op internet.

Hiervoor gebruikt het team de logs die in fase 4 zijn veiliggesteld. Zo zie je maar dat die erg belangrijk zijn. Ze geven inzicht in wat er op de systemen is gebeurd. Zonder deze gegevens is het lastiger om sporen van een aanval terug te vinden.

Fase 6: opruimen, melden en blijven monitoren

Wat er in deze fase gebeurt, hangt af van wat het team in fase 5 vond. Wanneer er niets gevonden is, is dat fijn. Het IT-team houdt de systemen de weken erna vaak toch extra in de gaten. Nieuwe IoC’s worden soms pas later gedeeld, en dan wordt er opnieuw gecontroleerd. Is er wel wat gevonden? Dan wordt het een incident. Het It-team verwijdert achterdeurtjes, vernieuwt wachtwoorden en sessies en zoekt uit hoe ver de aanvaller is gekomen. Vaak helpt een technisch specialist daarbij.

Moet je een incident melden?

• Valt je organisatie onder de Cbw (Cyberbeveiligingswet), die sinds 15 augustus 2026 geldt? Dan heb je een meldplicht voor ernstige incidenten. Bovendien hoort snel en goed reageren op kwetsbaarheden bij de zorgplicht. De bestuurders zijn hiervoor eindverantwoordelijk.

• Via een gateway kunnen systemen met persoonsgegevens bereikbaar, zoals e-mail, HR-systemen of klantdossiers. Heeft een aanvaller die kunnen inzien? Dan kan er sprake zijn van een datalek. Een datalek met risico voor betrokkenen meld je binnen 72 uur bij de Autoriteit Persoonsgegevens.

Onze samenwerkingspartner Privacy Company kan je helpen te bepalen of een datalek meldplichtig is en wat je richting betrokkenen moet doen.

Wat dit betekent voor de CISO?

Als CISO hoef je niet zelf te patchen. Echter moet je wel begrijpen wat er gebeurt, zodat je de juiste vragen stelt en het bestuur goed kunt informeren. Vragen die je aan het IT-team zou kunnen stellen zijn:

• Wanneer weten we welke systemen geraakt zijn?
• Bewaren we de logs lang genoeg, zodat we kunnen terugkijken?
• Hebben we al gecontroleerd of er iemand binnen was?
• Wat is het actieplan als we vinden dat er iemand binnen was?
• Zijn onze medewerkers geïnformeerd?
• Sinds wanneer waren we kwetsbaar en moeten we iets melden?

Het is ook verstandig om als CISO ervoor te zorgen dat een organisatie overzichten en actieplannen heeft klaarstaan. Zo hoeft niemand op het moment zelf te improviseren. Denk aan:

• een actueel overzicht van alle systemen
• afspraken over tijdslijnen van het patchen
• een incidentplan met wie wat beslist en wanneer er gemeld wordt
• een bewaartermijn voor logbestanden en wanneer het bestuur moet worden geïnformeerd

Hoe wij helpen: de brug tussen techniek en bestuur

In veel organisaties zit er een kenniskloof tussen de mensen die patchen en de mensen die beslissen. De techneut weet wat er moet gebeuren, maar het bestuur ziet niet altijd wat het risico is. Een CISO van PuraSec kan daarbij helpen.

Onze CISO’s hebben diepgaande kennis van governance, risk en compliance (GRC). Ze vertalen technische risico’s naar heldere rapportages en adviezen. Geen moeilijk vakjargon, maar duidelijke taal over waar je organisatie staat en welke keuzes nodig zijn. En omdat informatiebeveiliging bij de directie begint, werkt onze CISO samen met bestuur en management om security een vast onderdeel van je strategie te maken. Onze CISO kan je team al vanaf 4 uur per week ondersteunen.

Twijfel je of alles goed is na de patch?

Je hebt gepatcht, maar weet niet zeker of iemand binnen is. Dat is begrijpelijk. Laat onze technisch specialisten even meekijken. Samen doorlopen we wat er is gedaan, wat er nog ontbreekt en welke vragen je aan je IT-team of leverancier kunt stellen.

Wil je zeker weten dat je toegangspoort echt dicht zit? Met een pentest testen onze ethical hackers of een aanvaller nog binnen kan komen.

Sparren mag ook altijd. Neem vrijblijvend contact met ons op!