Citrix NetScaler ADC and NetScaler Gateway contain an authentication-bypass vulnerability involving an alternate path or channel. When the NetScaler appliance is configured as an AAA virtual server or as a Gateway (SSL VPN, ICA Proxy, CVPN, or RDP Proxy), an unauthenticated remote threat actor may be able to bypass authentication.
Exploiteerbaarheid: actief misbruik waargenomen. Blootstelling: niet internet-facing / geen bekende blootstelling. Gemeentelijke relevantie: veelvoorkomende gemeentelijke technologie (geen bevestigde eigen match). Impact: alleen technische impact. Bronvertrouwen: hoog.
Scorecomponenten
actief misbruik waargenomen
niet internet-facing / geen bekende blootstelling
veelvoorkomende gemeentelijke technologie (geen bevestigde eigen match)
alleen technische impact
officiële bron; CISA KEV
geen mitigatie bekend
Geen automatische bestuurlijke escalatie — operationeel op te volgen.
Prioriteit: kritiek
Aanbevolen reactietijd: vandaag beoordelen
Kritiek (97/100) — vandaag beoordelen. Bepalend: gemeentelijke relevantie (100/100) en handelingsurgentie (100/100). Behandel dit vandaag en betrek CISO, ISO en het SOC; leg de opvolging vast. Deze prioritering is regelgebaseerd en navolgbaar; weeg de aannames en onzekerheden mee voor de eigen gemeentelijke omgeving.
zeer hoog — De technische ernst is hoog: succesvol misbruik kan systemen of gegevens direct compromitteren.
zeer hoog — Misbruik is bevestigd of zeer waarschijnlijk; aanvallers kunnen dit nu inzetten.
zeer hoog — Dit raakt technologie of processen die bij vrijwel elke Nederlandse gemeente in gebruik zijn.
zeer hoog — Er is op korte termijn actie nodig van CISO, ISO en het beheer- of SOC-team.
Positieve factoren
De kwetsbaarheid staat in de CISA Known Exploited Vulnerabilities-catalogus: actief misbruikt in het wild.
Bron: CISA Known Exploited Vulnerabilities-catalogus
De dreiging raakt remote access of VPN (zoals Citrix, Fortinet, Ivanti of Palo Alto): vaak direct vanaf internet bereikbaar.
Bron: Technologieherkenning in titel, samenvatting en labels
Remote access en VPN zijn direct vanaf internet bereikbaar en een geliefd doelwit; dit verhoogt de urgentie.
Bron: Technologieherkenning in titel, samenvatting en labels
Negatieve factoren
Geen verlagende factoren herkend.
Aannames
Onzekerheden
Deze prioritering is regelgebaseerd en navolgbaar. Een CISO kan deze onderbouwing gebruiken richting directie of ICT-management; stem de opvolging af op de eigen gemeentelijke omgeving.
16 concrete acties verdeeld over 8 rol(len). Aanbevolen reactietijd: vandaag beoordelen.
Taken voor CISO
Laat vaststellen of de getroffen component of het proces binnen de gemeente in gebruik is.
Bewijs vereist: Bevestiging in/uit gebruik door ICT-beheer.
Wijs per actie een eigenaar en deadline toe en bewaak dat de acties worden afgerond.
Bepaal of opschaling naar CIO of directie nodig is; de kwetsbaarheid wordt actief misbruikt.
Laat bevestigen dat de patchstatus en mitigerende maatregelen voor de remote-accessvoorziening op orde zijn.
Bewijs vereist: Bevestiging van het beheerteam of de leverancier.
Beoordeel of de crisis- of incidentprocedure geactiveerd moet worden.
CISO
Laat vaststellen of de getroffen component of het proces binnen de gemeente in gebruik is.
Bewijs vereist: Bevestiging in/uit gebruik door ICT-beheer.
Wijs per actie een eigenaar en deadline toe en bewaak dat de acties worden afgerond.
Bepaal of opschaling naar CIO of directie nodig is; de kwetsbaarheid wordt actief misbruikt.
Laat bevestigen dat de patchstatus en mitigerende maatregelen voor de remote-accessvoorziening op orde zijn.
Bewijs vereist: Bevestiging van het beheerteam of de leverancier.
Beoordeel of de crisis- of incidentprocedure geactiveerd moet worden.
ISO / patchmanagement
Controleer of een patch of mitigatie beschikbaar is en bepaal de deadline voor opvolging.
Bewijs vereist: Patch- of mitigatieoverzicht met versienummers.
Geef deze kwetsbaarheid voorrang in de patchplanning en registreer de deadline.
Bewijs vereist: Patchbewijs (changeticket of versie na patch).
SOC
Onderzoek de relevante logs op tekenen van misbruik van deze kwetsbaarheid.
Bewijs vereist: Logonderzoek met conclusie (wel of geen indicatoren).
Zet tijdelijke detectie op afwijkende authenticatie en laterale beweging.
Let op afwijkende of mislukte aanmeldingen en sessies op VPN of remote access.
ICT-beheer
Breng in kaart welke systemen, applicaties of accounts de kwetsbare component bevatten.
Bewijs vereist: Lijst van geraakte systemen uit de CMDB of inventaris.
Beperk waar mogelijk de internettoegang tot de remote-accessvoorziening tot de patch is uitgevoerd.
Functioneel beheer
Controleer of de geraakte applicatie of koppeling extra aandacht nodig heeft.
Leveranciersmanager
Vraag de leverancier of beheerpartij of misbruik is geconstateerd en wat de patch- en mitigatieplanning is.
Bewijs vereist: Schriftelijke reactie van de leverancier of beheerpartij.
Proceseigenaar
Beoordeel wat de dreiging betekent voor de continuiteit van het geraakte proces.
Directie
Informeer de directie vanwege de kritieke impact of het continuiteitsrisico.
De acties zijn regelgebaseerd gegenereerd. Stem ze af op de eigen gemeentelijke omgeving en wijs per actie een eigenaar en deadline toe.
Relevante logbronnen
MITRE ATT&CK — tactieken
MITRE ATT&CK — technieken
Huntingvragen
KQL-huntingqueries (Microsoft Sentinel)
Defender-waarschuwingen rond endpointcompromittatie
Toont waarschuwingen van Microsoft Defender for Endpoint met een hoge of gemiddelde ernst.
// Defender-waarschuwingen rond endpointcompromittatie
SecurityAlert
| where TimeGenerated > ago(7d)
| where ProductName == "Microsoft Defender for Endpoint"
| where AlertSeverity in ("High", "Medium")
| project TimeGenerated, AlertName, AlertSeverity, CompromisedEntity,
Description
| order by TimeGenerated descFalse positives: Beheertooling en pentests kunnen legitieme waarschuwingen genereren.
Aanmeldingen vanuit onbekende landen
Toont geslaagde aanmeldingen vanuit landen buiten het verwachte werkgebied.
// Aanmeldingen vanuit onverwachte landen
let bekendeLanden = dynamic(["NL", "BE", "DE"]);
SigninLogs
| where TimeGenerated > ago(7d)
| where ResultType == 0
| where isnotempty(Location) and Location !in (bekendeLanden)
| summarize Aanmeldingen = count() by UserPrincipalName, Location
| order by Aanmeldingen descFalse positives: Vakanties, grensregio's en cloud-egress kunnen onverwachte landen tonen.
Impossible travel-risicodetecties
Toont aanmeldingen die Entra ID Protection markeert als 'impossible travel' of onbekende kenmerken - mogelijk overgenomen sessies.
// Impossible travel-risicodetecties (Entra ID Protection)
AADUserRiskEvents
| where TimeGenerated > ago(7d)
| where RiskEventType in ("impossibleTravel", "unfamiliarFeatures",
"anonymizedIPAddress")
| project TimeGenerated, UserPrincipalName, RiskEventType, RiskLevel,
IpAddress, Location
| order by TimeGenerated descFalse positives: VPN's, mobiele netwerken en cloud-egress kunnen een legitieme aanmelding als onmogelijke reis laten ogen.
Indicators of compromise
Geen IOC's herkend in de openbare dreigingstekst. IOC's kunnen later via een threat-intelfeed worden aangevuld.
False-positive-aandachtspunten
Kwetsbaarheidsscans en pentests veroorzaken legitiem verdacht verkeer. Stem af met de changekalender.
Deze informatie is uitsluitend defensief: detectie en hunting. De KQL-queries zijn read-only en bedoeld voor Microsoft Sentinel.
Vragenlijst
E-mailonderwerp
Uitvraag kwetsbaarheid CVE-2026-19490 — reactie gevraagd
E-mailtekst
Geachte heer/mevrouw, Naar aanleiding van een beveiligingsmelding met kenmerk CVE-2026-19490 doet onze gemeente een uitvraag bij u als leverancier. Deze uitvraag dient ter verificatie en feitenvaststelling: wij willen vaststellen of en in welke mate de aan onze gemeente geleverde dienstverlening wordt geraakt. Het betreft mogelijk het product of onderdeel "NetScaler". Wij verzoeken u de onderstaande vragen volledig en onderbouwd te beantwoorden en uw reactie binnen drie (3) werkdagen na ontvangst van dit bericht schriftelijk aan te leveren bij de informatiebeveiligingsfunctie van onze gemeente. Zijn bepaalde gegevens nog niet beschikbaar, dan ontvangen wij graag een tussentijdse terugkoppeling. Gezien de urgentie van deze melding verzoeken wij u met voorrang te reageren. Vragen: 1. Gebruikt u de kwetsbare component of het geraakte product? 2. Welke versies zijn bij u in gebruik? 3. Is de kwetsbaarheid van toepassing op de dienstverlening aan onze gemeente? 4. Is de kwetsbaarheid inmiddels gepatcht? 5. Zo ja, op welke datum is de patch doorgevoerd? 6. Zo nee, welke mitigerende maatregelen zijn genomen? 7. Is er actief misbruik van de kwetsbaarheid geconstateerd? 8. Is er logging of forensisch onderzoek uitgevoerd? 9. Is er sprake van een risico op een datalek? 10. Wanneer verwacht u een definitieve oplossing door te voeren? 11. Welke restrisico's blijven na de oplossing bestaan? 12. Welke communicatie mogen wij richting onze interne stakeholders gebruiken? Deze uitvraag is bedoeld om de feiten vast te stellen en gezamenlijk tot een passende opvolging te komen. Wij stellen uw tijdige medewerking op prijs. Met vriendelijke groet, [Naam] Namens de informatiebeveiligingsfunctie Gemeente [Gemeente]
Vul vóór verzending de afzender en gemeentenaam in. De tekst is zakelijk en gericht op feitenvaststelling; pas hem aan op de eigen situatie.
Deze dreiging raakt de onderstaande governance-thema's. Met de aanbevolen bewijsstukken kunt u aantonen dat het signaal is opgevolgd — bruikbaar voor BIO2, NIS2/CBW, ISMS en de ENSIA-verantwoording.
Deze kwetsbaarheid valt onder het beheer van technische kwetsbaarheden: tijdig signaleren, beoordelen en patchen.
Aanbevolen bewijs: Patchbesluit, deadline en patchbewijs uit de patchcase.
De prioritering en gemeentelijke relevantie vormen een navolgbare risico-inschatting.
Aanbevolen bewijs: Score-uitleg (scoring 2.0); bij niet patchen een vastgelegd, geaccepteerd restrisico.
Het tijdig opvolgen van bekende kwetsbaarheden hoort bij de zorgplicht voor passende beveiligingsmaatregelen.
Aanbevolen bewijs: Aantoonbare patch- of mitigatieopvolging binnen een redelijke termijn.
De dreiging en de opvolging ervan horen thuis in de periodieke rapportage aan het management en de directie.
Aanbevolen bewijs: Vermelding in de CISO- of directierapportage informatiebeveiliging.
De radar legt de beoordeling, prioritering en opvolging navolgbaar vast.
Aanbevolen bewijs: Scoringonderbouwing, actiekaart en statusgeschiedenis uit de radar.
Het patchen of mitigeren is de uitvoering (Do) van het informatiebeveiligingsproces.
Aanbevolen bewijs: Uitgevoerde changes en doorgevoerde mitigerende maatregelen.
Aantoonbare opvolging draagt bij aan de jaarlijkse ENSIA-verantwoording over de BIO.
Aanbevolen bewijs: Overzicht van opgevolgde dreigingen voor de ENSIA-zelfevaluatie.
Vereiste actie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Uiterste hersteldatum (CISA): 2026-09-12
Categorie 'vulnerability' overgenomen van de bron; geen specifieker incidenttype gedetecteerd. Severity 'critical' bepaald op basis van: bekend actief misbruik, trefwoord 'unauthenticated'. Confidence 'confirmed': officiële bron (CISA KEV). Herkende leveranciers/producten: Citrix.
Deze dreiging scoort 100/100 voor de gemeentelijke relevantie. Meegewogen: bevestiging door een officiële bron, actief misbruik (de kwetsbaarheid staat op de CISA KEV-lijst), een hoge ernstinschaling, een beschikbare exploit, getroffen internetgerichte technologie en veelgebruikte gemeentelijke technologie. Geraakte processen: Netwerk en infrastructuur.
Bestuurlijke duiding
Deze dreiging vraagt om bestuurlijke aandacht. Een onverholpen kwetsbaarheid in gemeentelijke systemen vergroot de kans op misbruik. Een succesvolle aanval kan de gemeentelijke dienstverlening direct raken en leiden tot uitval, imagoschade of een datalek met meldplicht. Borg dat de portefeuillehouder en de directie geïnformeerd zijn en dat de opvolging belegd en bewaakt wordt.
Geraakte processen
Geraakte technologie
Betrokken rollen
CISO · ISO · SOC · ICT beheer
Concrete stappen voor ICT-beheer en het securityteam.
Dit zijn algemene handelingsperspectieven. Stem de opvolging af op de eigen omgeving en het ISMS van uw gemeente.
Deel geen vertrouwelijke of persoonsgegevens in dit formulier. Beschrijf je melding algemeen; gevoelige details horen niet op een publieke radar thuis.