Citrix heeft een kritieke fout verholpen in NetScaler ADC en NetScaler Gateway die optreedt wanneer deze zijn ingericht als SAML‑serviceprovider (SP) of SAML‑identityprovider (IdP). Het gaat om een geheugenoverflow tijdens de verwerking van SAML, waardoor aanvallers op afstand code kunnen uitvoeren of diensten kunnen laten crashen. De kwetsbaarheid heeft een CVSS‑score van 9,5 en is officieel gepubliceerd op 8 oktober 2026. (support.citrix.com)

Wie is geraakt

• Alleen appliances die SAML gebruiken zijn kwetsbaar. Dat kan als SP, als IdP, of beide—afhankelijk van de versie. In het bijzonder zijn builds 14.1‑73.37 t/m 14.1‑73.41 en 13.1‑64.23 t/m 13.1‑64.28 kwetsbaar wanneer ze als IdP draaien; eerdere 14.1‑ en 13.1‑releases zijn kwetsbaar wanneer ze als SP of IdP zijn geconfigureerd. FIPS/NDcPP‑varianten vallen ook binnen de reikwijdte. (support.citrix.com)

Wat je nu moet doen

• Update zo snel mogelijk naar: 14.1‑73.46 (of hoger), 13.1‑64.29 (of hoger), 14.1‑73.46 FIPS, of 13.1‑37.283 (FIPS/NDcPP). Deze versies bevatten de fixes. (support.citrix.com)
• Controleer of je NetScaler SAML gebruikt. Dat kan door in de configuratie te kijken naar:
  • add authentication samlAction (SAML SP)
  • add authentication samlIdPProfile (SAML IdP) (support.citrix.com)
• Geef prioriteit aan internet‑exposed gateways en AAA‑virtual servers. Die vormen het grootste risico en moeten eerst geüpdatet of tijdelijk beperkt worden. (cert.europa.eu)

Waarom dit urgent is

• In dezelfde periode speelde ook CVE‑2026‑88779: een SAML‑gerelateerde memory‑overflow in NetScaler die als zero‑day werd misbruikt om SAML‑authenticatieservices te laten crashen (DoS). Onderzoekers keken of daar ook RCE mogelijk was; Citrix bevestigde destijds alleen het DoS‑effect. Die context onderstreept dat SAML‑paden aantrekkelijke doelwitten zijn en dat snel patchen loont. (bleepingcomputer.com)

Achtergrond: hoe dit misgaat

• Tijdens SAML‑verwerking wordt invoer geparseerd en gevalideerd. Door onjuiste geheugenafhandeling kan een speciaal geprepareerd verzoek een buffer laten overlopen. Dat levert in het beste geval een crash op, en in het slechtste geval uitvoer van willekeurige code met hoge rechten. (support.citrix.com)

Snelle checklist voor beheerders

• Inventariseer: draait SAML op je NetScaler? Zo ja, waar (Gateway/AAA, SP of IdP)? (support.citrix.com)
• Patch naar 14.1‑73.46+ of 13.1‑64.29+ (en de juiste FIPS/NDcPP‑equivalenten). Plan desnoods een spoedchange. (support.citrix.com)
• Zet waar mogelijk SAML tijdelijk achter extra filtering (bijv. alleen via vertrouwde IP’s) en beperk internettoegang tot management‑ en authenticatie‑endpoints totdat je geüpdatet hebt. Adviezen van Europese CERT’s benadrukken het prioriteren van publiek toegankelijke SAML/AAA‑instellingen. (cert.europa.eu)
• Monitor op storingen in SAML‑authenticatie en ongebruikelijke pieken in requests naar SAML‑endpoints. Volg de aanvullende richtlijnen en IoC’s in Citrix’ begeleidende blog voor dit issue. (support.citrix.com)

Tot slot

• Dit is een high‑impact kwetsbaarheid met lage aanvallast: een kwaadwillende hoeft alleen een netwerkverzoek te sturen naar een SAML‑endpoint om schade aan te richten. Organisaties die SSO of VPN op NetScaler draaien, moeten daarom direct updaten en hun SAML‑configuratie nalopen. (support.citrix.com)

Bronnen: officiële Citrix‑beveiligingsbulletins en ondersteunende advisories van security‑instanties. (support.citrix.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.