Tientallen gemeenten schakelen kwetsbare Citrix-servers uit

Ambtenaren in tientallen gemeenten in heel Nederland kunnen voorlopig niet meer thuiswerken. De gemeenten, waaronder Amsterdam en Rotterdam, hebben uit voorzorg de externe toegang tot hun Citrix-netwerken tijdelijk afgesloten. Burgers kunnen niet al hun zaken afhandelen. Zo is het in sommige gemeenten even niet mogelijk om een begrafenis of crematie te regelen.

Den Haag had zijn Citrix-programma in de nacht van donderdag op vrijdag uitgeschakeld, maar vrijdagochtend weer aangezet. Den Haag houdt de computersystemen in de gaten en overweegt ze voor het weekeinde weer uit te zetten. Volgens Amsterdam, Rotterdam en Den Haag zijn er geen aanwijzingen dat onbevoegden toegang hebben gekregen tot de gemeentelijke systemen. De gemeente Utrecht laat weten geen gebruik te maken van Citrix.

Ook andere gemeenten hebben besloten om Citrix uit voorzorg uit te schakelen, zoals Tilburg, Leeuwarden, Arnhem, Amstelveen, Doetinchem, Baarn, Dronten, Meerssen, Achtkarspelen, Tytsjerksteradiel, Goirle, Halderberge, Gilze en Rijen, Baarle-Nassau, Beek, Waalwijk, Medemblik en Heerde. Het is nog niet bekend wanneer de gemeenten de verbinding met hun servers, en dus hun diensten, herstellen.

De provincie Gelderland heeft Citrix ook uitgeschakeld. Mensen kunnen geen subsidies aanvragen, geen milieuklachten indienen en geen digitale formulieren invullen.

Het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie en Veiligheid had organisaties die Citrix gebruiken, aangeraden om te overwegen de servers uit voorzorg uit te schakelen. In de beveiliging van Citrix zit een groot gat. Daarvoor is nog geen reparatie beschikbaar. Citrix heeft wel een lapmiddel ontwikkeld om de kans op een aanval te verkleinen, maar dat middel blijkt niet altijd even goed te werken.

Door het gat in Citrix zouden kwaadwillenden eenvoudig toegang kunnen krijgen tot gevoelige gegevens. Duizenden Nederlandse bedrijven, overheidsdiensten, onderwijsinstellingen en organisaties zouden gevaar lopen. De fout zit in twee diensten van Citrix, namelijk de Application Delivery Controller en de Gateway. Op zijn vroegst maandag wordt een update uitgevoerd, die de kwetsbaarheden moet oplossen.