1. Er zijn meldingen over twee niet gespecificeerde kwetsbaarheden in Citrix NetScaler die code-uitvoering op afstand (RCE) mogelijk maken. Deze kwetsbaarheden worden beschouwd als 'zero-days', wat betekent dat ze nog niet gepatcht zijn.
2. De ontdekking van deze kwetsbaarheden gebeurde tijdens forensisch onderzoek. De informatie wordt als geloofwaardig beschouwd.
3. Er is een waarschuwing uitgegeven die niet verward moet worden met het bulletin van Citrix van 19 augustus betreffende CVE-2026-19490 en CVE-2026-19489.
4. Voor de kwetsbaarheden van augustus, waaronder CVE-2026-19490 en CVE-2026-19489, adviseert Citrix het upgraden van NetScaler ADC en Gateway 14.1 naar 14.1-73.32 of hoger, en 13.1 naar 13.1-63.21 of hoger. Vaste baselines voor gespecialiseerde edities zijn 14.1-73.32 FIPS en 13.1-37.277 voor FIPS of NDcPP. Citrix vermeldt geen workarounds voor deze kwetsbaarheden. Dit bulletin is van toepassing op customer-managed appliances en niet op Citrix-managed cloud services.
5. CVE-2026-19490 is een kritieke kwetsbaarheid voor omzeiling van authenticatie met een score van 9.3 volgens CVSS v4.0. Het treft specifieke configuraties van customer-managed NetScaler Gateway en AAA virtual servers.
6. CVE-2026-19489 is een geheugenoverflow-probleem met een score van 8.8 dat SIP ALG vereist op een Large Scale NAT-groep, wat kan leiden tot onvoorspelbaar gedrag of een denial-of-service.
7. Actieve exploitatie van CVE-2026-19490 is vastgesteld. Singapore's Cyber Security Agency waarschuwde op 7 september voor observatie van exploitatiepogingen. Op 9 september heeft CISA de kwetsbaarheid toegevoegd aan zijn Known Exploited Vulnerabilities-catalogus. Canada's Cyber Center heeft aangedrongen op het onmiddellijk patchen en monitoren op ongeautoriseerde toegang.
8. Er zijn meldingen van onbevestigde kwetsbaarheden in NetScaler die op afstand code-uitvoering mogelijk maken en die in het wild worden gebruikt. De gerapporteerde problemen worden door watchTowr expliciet gekarakteriseerd als twee niet-gepatchte RCE-kwetsbaarheden.
9. Op het moment van schrijven had Citrix geen technische details, CVE-identificaties, getroffen versies, indicatoren van compromittering of een advies voor deze recent gemelde kwetsbaarheden gepubliceerd.
10. Totdat Citrix de nieuwe RCE-meldingen verduidelijkt, wordt geadviseerd om alle NetScaler-instanties te inventariseren, de exacte versies en blootstelling te bevestigen, toegangsbeheer te beperken en compenserende controles te implementeren voor publieke interfaces.
11. Er zijn meldingen dat sommige organisaties internet-blootgestelde NetScaler-apparaten hebben uitgeschakeld. Het uitschakelen van apparaten kan de VPN-toegang, applicatielevering, authenticatie en andere kritieke diensten onderbreken. Organisaties die het resterende risico niet kunnen accepteren, moeten blootgestelde apparaten isoleren of uitschakelen onder een goedgekeurd business-continuityproces.
12. Beveiligingsteams wordt geadviseerd logs en forensische beelden te bewaren, authenticatiegebeurtenissen, nieuwe sessies, configuratiewijzigingen, onverwachte processen, verdachte bestanden en anomale uitgaande verbindingen te controleren, en af te zien van het wissen van mogelijk gecompromitteerde apparaten voordat bewijs is verzameld.
13. Citrix wordt verwacht volgende week informatie en fixes te publiceren. Teams wordt geadviseerd om de beveiligingsbulletins van Citrix te volgen voor patches en implementatie-instructies.