1. Citrix heeft noodbeveiligingsupdates uitgebracht voor NetScaler ADC en NetScaler Gateway vanwege kritieke kwetsbaarheden.
2. Twee kritieke kwetsbaarheden, CVE-2026-88771 en CVE-2026-88772, worden actief uitgebuit tegen niet-gecorrigeerde systemen. Beide kwetsbaarheden hebben een CVSS v4.0 score van 9.5.
3. Deze kwetsbaarheden stellen externe, niet-geauthenticeerde aanvallers in staat om willekeurige code uit te voeren.
4. CVE-2026-88771 ontstaat door onjuiste invoervalidatie en maakt willekeurige command-uitvoering mogelijk. Deze kwetsbaarheid treft elke implementatie van NetScaler ADC en NetScaler Gateway, inclusief standaardconfiguraties.
5. CVE-2026-88772 is een geheugen-overflowkwetsbaarheid die, wanneer DTLS is ingeschakeld, kan leiden tot Remote Code Execution (RCE) of een denial of service. DTLS is standaard ingeschakeld op VPN virtuele servers.
6. Naast deze twee kritieke kwetsbaarheden, behandelt het beveiligingsbulletin nog zes bijkomende kwetsbaarheden.
7. CVE-2026-88773, met een score van 9.3, maakt HTTP request smuggling mogelijk in implementaties met HTTP-configuraties.
8. CVE-2026-88774, met een score van 7.0, maakt beleidsomzeiling mogelijk via onjuiste HTTP URL-gebaseerde expressies.
9. Drie geheugen-overflowkwetsbaarheden (CVE-2026-88775, CVE-2026-88776 en CVE-2026-88777), elk met een score van 8.8, treffen respectievelijk Gateway of AAA virtuele servers, Oracle load-balancing virtuele servers, en LB/CS of CGNAT-LSN/NAT64 apparaten die niet-HTTP Layer 7 functionaliteit gebruiken.
10. CVE-2026-88778, eveneens met een score van 8.8, maakt voorspelling van het initiële TCP-sequencenummer mogelijk wanneer Enhanced ISN Generation is uitgeschakeld op relevante TCP-configuraties.
11. Beheerders wordt geadviseerd onmiddellijk te upgraden naar NetScaler ADC en Gateway versie 14.1-73.37 of hoger, of 13.1-64.23 of hoger. Gepatchede gespecialiseerde builds zijn 14.1-73.37 FIPS en 13.1-37.279 voor FIPS en NDcPP implementaties.
12. Gezien het feit dat CVE-2026-88771 standaardinstallaties treft, kan configuratieaanpassingen om de blootstelling te verminderen het patchen niet vervangen.
13. Organisaties dienen hun configuraties te inspecteren op DTLS, HTTP of SSL virtuele servers, Gateway en AAA-services, Oracle load balancing, niet-HTTP Layer 7 protocollen en uitgeschakelde Enhanced ISN Generation.
14. Citrix biedt generieke indicatoren van compromittering via de Security Advisory workflow van NetScaler Console, waarvoor telemetrie vereist is vanaf versie 14.1-73.36 van de Console-service en on-premises Console met Cloud Connect.
15. Organisaties die verdachte activiteiten detecteren, wordt geadviseerd om bewijs te bewaren en gekwalificeerde forensische responders in te schakelen. Logs moeten naar een externe SIEM worden doorgestuurd en File Integrity Monitoring kan helpen bij het identificeren van ongeautoriseerde wijzigingen.
16. Een implementatie die 13.1-64.23 draait, kan tijdens de upgrade in een herstartlus terechtkomen wanneer NetScaler variabelen zijn geconfigureerd. Citrix adviseert om te plannen voor versie 13.1-64.24 als er variabelen worden geretourneerd bij het uitvoeren van de opdracht "show ns variable". De Console kan 13.1-64.23 ook tijdelijk onjuist als kwetsbaar markeren.
17. Vanwege de bevestigde exploitatie moeten beheerders de update behandelen als een incidentrespons-prioriteit. Elke knooppunt moet worden gepatcht, de draaiende build moet worden geverifieerd, er moet worden gescand op compromittering, en authenticatie- en netwerkactiviteiten moeten worden beoordeeld.
18. Verwachte bestanden, processen, configuratiewijzigingen of uitgaande verbindingen moeten worden onderzocht. Het bijwerken sluit de kwetsbaarheden, maar verwijdert geen persistentie of andere artefacten die door aanvallers zijn achtergelaten vóór de herstelactie.