1. Citrix heeft het grootste deel van het weekend de actieve exploitatie van nieuwe zero-day kwetsbaarheden in NetScaler bevestigd. Deze kwetsbaarheden zijn geïdentificeerd als CVE-2026-88771 en CVE-2026-88772. De kritieke defecten hebben een CVSS-score van 9,5 en maken remote code execution mogelijk.
2. CVE-2026-88771 is een command-injection kwetsbaarheid die alle NetScaler-appliances in een standaardconfiguratie treft. Er is een publiek beschikbare proof-of-concept exploit voor deze kwetsbaarheid.
3. De vroegst bekende poging tot exploitatie werd op 24 september waargenomen door GreyNoise, hoewel onderzoekers waarschuwen dat exploitatie waarschijnlijk eerder is begonnen.
4. Citrix publiceerde op zondag een beveiligingsadvies waarin de geëxploiteerde zero-days werden bekendgemaakt en patches voor werden uitgebracht, samen met zes aanvullende defecten.
5. Palo Alto Networks identificeerde op zondag meer dan 50.000 publiek blootgestelde instanties van Citrix NetScaler-apparaten die mogelijk kwetsbaar waren voor beide zero-days.
6. De Cybersecurity and Infrastructure Security Agency (CISA) heeft op zondag een waarschuwing uitgegeven nadat Citrix de aanvallen publiekelijk had bevestigd. CISA heeft CVE-2026-88771 en CVE-2026-88772 toegevoegd aan hun catalogus van bekende geëxploiteerde kwetsbaarheden.
7. Het NetScaler-product heeft dit jaar al vijf keer op de CISA-lijst van bekende geëxploiteerde kwetsbaarheden gestaan. Sinds eind 2021 is het product 26 keer op die lijst verschenen.
8. Verschillende CERTs, adviesbureaus, verzekeraars, onderzoekers en beveiligingsprofessionals waarschuwden hun respectieve gemeenschappen voor de ernstige dreiging. Beveiligingsleiders uit de sector gaven op zondag directe waarschuwingen op LinkedIn over de urgente dreiging. Sommige bedrijven waarschuwden mogelijk kwetsbare klanten met beperkte officiële gegevens en zonder bevestiging van CISA of Citrix.
9. De kritiek op Citrix nam toe, en voor sommige NetScaler-klanten kwam de waarschuwing te laat.
10. Citrix heeft niet gespecificeerd hoeveel klanten zijn gecompromitteerd, en onderzoekers evalueren nog steeds de gevolgen. Citrix stelt generieke indicatoren van compromis beschikbaar aan klanten via hun gebruikersconsoles.
11. De toerekening van de aanvallen is nog in onderzoek. NetScaler-producten zijn echter een terugkerend doelwit voor cybercriminelen en staatsgesponsorde spionagegroepen. Citrix-producten zijn eerder veelvuldig het doelwit geweest van aanvallen, vaak met zero-day exploits.
12. Een adequate reactie vereist tijdige en duidelijke communicatie naast het uitbrengen van patches en adviezen.