Citrix dicht acht kwetsbaarheden in NetScaler ADC en NetScaler Gateway. Drie daarvan zijn kritiek. Organisaties die deze appliances in eigen beheer draaien, moeten snel updaten. De fixes zijn beschikbaar in:

• NetScaler ADC en NetScaler Gateway 14.1-73.37 en hoger
• Versie 13.1-64.23 en hoger (13.1‑tak)
• NetScaler ADC 14.1‑73.37 FIPS en hoger
• NetScaler ADC 13.1‑37.279 FIPS/NDcPP en hoger. (support.citrix.com)

Wat staat er op het spel

• CVE-2026-88771 (CVSS 9,5): onvoldoende invoervalidatie maakt remote code execution (RCE) mogelijk, zonder authenticatie. Alle NetScaler‑deployments zijn kwetsbaar; er is geen extra feature nodig. (support.citrix.com)
• CVE-2026-88772 (CVSS 9,5): memory overflow die kan leiden tot RCE of DoS. Misbruik is mogelijk wanneer DTLS aanstaat; dat is standaard het geval op een VPN‑virtual server. (support.citrix.com)
• CVE-2026-88773 (CVSS 9,3): HTTP Request Smuggling bij ingeschakelde HTTP‑functionaliteit. (support.citrix.com)
• CVE-2026-88774 (CVSS 7,0): het omzeilen van feature policies bij onjuist gebruik van HTTP‑URL‑expressies. Alleen van toepassing als zulke expressies zijn geconfigureerd. (support.citrix.com)
• CVE-2026-88775/‑88776/‑88777 (alle 8,8): memory overflows die onvoorspelbaar gedrag of DoS veroorzaken, afhankelijk van je configuratie (o.a. Gateway/AAA, LB vServer type Oracle, of LB/CS/CGNAT met non‑HTTP L7‑protocollen). (support.citrix.com)
• CVE-2026-88778 (CVSS 8,8): voorspelbare TCP Initial Sequence Numbers (ISN) bij ingeschakelde TCP‑functionaliteit. (support.citrix.com)

Waarom dit nú urgent is
Citrix meldt dat CVE‑2026‑88771 en CVE‑2026‑88772 al worden misbruikt in het wild. CISA heeft beide CVE’s op 27 september 2026 toegevoegd aan de Known Exploited Vulnerabilities‑lijst, wat de urgentie onderstreept. (support.citrix.com)

Wie moet in actie komen

• Deze advisory geldt voor klant‑beheerde NetScaler ADC en NetScaler Gateway. Citrix‑beheerde clouddiensten en Managed Adaptive Authentication worden door Cloud Software Group zelf bijgewerkt. (support.citrix.com)
• Gebruik je Citrix Secure Private Access in een hybride opzet met on‑prem NetScaler Gateway/ADC‑instances? Dan val je ook binnen scope, omdat de hybride datastroom op die on‑prem NetScaler‑componenten leunt. (docs.citrix.com)

Actiepunten in het kort

• Patch direct naar een vaste release in jouw tak: 14.1‑73.37+, 13.1‑64.23+, of de genoemde FIPS/NDcPP‑builds. Plan een onderhoudsvenster en werk in HA om belemmeringen te beperken. (support.citrix.com)
• Kun je niet meteen patchen en draai je een VPN‑virtual server? Schakel DTLS tijdelijk uit om het risico via CVE‑2026‑88772 te verlagen. Heractiveer na de update. (support.citrix.com)
• Voor CVE‑2026‑88778: zet Enhanced ISN Generation aan (TCP‑instelling) zoals in de productdocumentatie beschreven. (docs.netscaler.com)
• Controleer actief op tekenen van misbruik:
  • Gebruik NetScaler Console’s Security Advisory om kwetsbare instances te vinden en IoC‑scans te draaien; Citrix levert hiervoor generieke indicators of compromise. (docs.netscaler.com)
  • Geen Console? Neem contact op met Citrix Support voor toegang tot deze IoC’s. (community.citrix.com)
• Beoordeel je configuratie tegen de “preconditions” per CVE (bijv. HTTP/SSL‑vServers, DTLS, LB type Oracle, CGNAT/NAT64, non‑HTTP L7‑protocollen) en prioriteer systemen waar die condities gelden. (support.citrix.com)
• Upgrade verouderde takken. Versies 12.1 en 13.0 zijn End‑of‑Life en krijgen geen beveiligingsfixes meer; plan migratie naar een ondersteunde release. (support.citrix.com)

Kernpunten per CVE (praktisch)

• 88771: iedereen kwetsbaar (ook default). Snel patchen en logs doorlichten. Denk aan breedte van impact: een geautomatiseerde scan kan hier al schade aanrichten. (support.citrix.com)
• 88772: raakt vooral VPN‑omgevingen door DTLS. Zet DTLS uit tot na de update als tussenmaatregel. (support.citrix.com)
• 88773: HTTP Request Smuggling kan leiden tot sessiemanipulatie en policy‑omzeiling. Check je HTTP/SSL‑vServers en WAF/rewriterules. (support.citrix.com)
• 88774: controleer URL‑gebaseerde policy‑expressies en normaliseer URL’s consequent. (community.citrix.com)
• 88775/76/77: kijk gericht naar de genoemde profielen (Gateway/AAA, Oracle‑LB, non‑HTTP L7 met LB/CS/CGNAT). (support.citrix.com)
• 88778: zet Enhanced ISN Generation aan om voorspelbaarheid van TCP‑ISN te beperken. (docs.netscaler.com)

Triage en forensics

• Start met het Security Advisory‑overzicht in NetScaler Console voor een instance‑lijst, risicoprofiel en IoC‑scan. Documenteer bevindingen en bewaar exporten/rapporten. (docs.netscaler.com)
• Zie je verdachte signalen (onverwachte config‑wijzigingen, onbekende accounts, webshell‑artefacten, afwijkende management‑logins)? Volg je IR‑proces en betrek forensische expertise als nodig. Dat adviseert Citrix expliciet bij het gebruik van de IoC‑functie. (community.citrix.com)

Tot slot
Dit is een high‑priority patchronde. Werk bij voorkeur naar 14.1‑73.37 of 13.1‑64.23 (of hoger in dezelfde tak), beoordeel je exposure per feature, en borg een blijvend patch‑ en hardeningsritme. Houd daarnaast CISA‑/CERT‑meldingen in de gaten: de opname van 88771 en 88772 in CISA’s KEV‑catalogus bevestigt actieve exploitatie. (content.govdelivery.com)

Bronnen: Citrix security bulletin en Tech Zone‑blog (details, fixes, preconditions, IoC’s), NetScaler‑documentatie (TCP/Enhanced ISN), CISA/NVD (KEV/toevoegingsdatum). (support.citrix.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.