Citrix NetScaler-klanten ervaren frequente herstarts van hun appliances nadat ze build 14.1-73.37 hebben geïnstalleerd. Deze noodupdate werd uitgebracht om twee zero-day kwetsbaarheden, CVE-2026-88771 en CVE-2026-88772, te patchen, waar reeds actief misbruik van werd gemaakt.

De eerste kwetsbaarheid stelde niet-geauthenticeerde aanvallers in staat commando's uit te voeren op getroffen systemen. De tweede kwetsbaarheid kon, bij ingeschakeld DTLS, leiden tot code-uitvoering of denial-of-service. Citrix bevestigde dat systemen die niet waren bijgewerkt, prooi waren van uitbuiting. De huidige herstartmeldingen wijzen er nog niet op dat aanvallers de beveiligingsupdate hebben omzeild. Eerdere berichten over de beveiligingscampagne in september beschreven waargenomen root-toegang, verborgen web shells en interne tunneling. Het patchen van de kwetsbaarheden voorkomt nieuw misbruik, maar verwijdert geen reeds geplaatste web shells of verkregen toegang.

De problemen lijken gerelateerd aan speciaal geconstrueerd SAML-authenticatieverkeer dat de nsaaad-service, verantwoordelijk voor authenticatietaken, doet crashen. Een dergelijke aanvraag kan de service laten crashen zonder dat de afzender hiermee controle over het apparaat verkrijgt. Beheerders melden dat externe NetScaler-appliances die 14.1-73.37 draaien, plotseling in een cyclus van gedwongen herstarts terechtkwamen. Dit leidde tot meldingen van 'severity-one'-gevallen bij Citrix. Een andere beheerder zag dat kwetsbaarheidsscans werden gevolgd door herhaalde nsaaad-crashes, waarna de appliance werd herstart door de pitboss watchdog na te veel storingen.

Herhaalde crashes kunnen een ernstig denial-of-service-incident veroorzaken, met name voor internetgerichte gateways die cruciaal zijn voor extern werken. Ook systemen in high-availability configuraties kunnen hinder ondervinden als beide nodes hetzelfde verkeer ontvangen of om de beurt herstarten.

Citrix geeft aan dat de engineering- en ondersteuningsteams een nieuw SAML-gerelateerd probleem onderzoeken en plannen een nieuw beveiligingsbulletin en een herstelde build uit te brengen. Op dit moment is er nog geen nieuwe CVE, volledige details over de oorzaak, of een definitief releasenummer bekendgemaakt. Het bulletin CTX697096 van Citrix noemt 14.1-73.37, 13.1-64.23 en bijbehorende FIPS- of NDcPP-releases als de oorspronkelijke zero-day fixes.

Voorlopige begeleiding van Citrix voor SAML-implementaties adviseert klanten om de relevante configuratie te controleren, mitigatieopties te evalueren en zich voor te bereiden op de installatie van de volgende herstelde build. Beveiligingsteams wordt geadviseerd om eerst core-bestanden, systeemlogboeken, authenticatieregistraties en een supportbundel te bewaren voordat een herstart mogelijk bewijsmateriaal verwijdert. Reboot-tijden moeten worden vergeleken met inkomende SAML-aanvragen, firewall-records en logs van de identiteitsprovider. Controles dienen nsaaad-crashmeldingen, bestanden in /var/core, recente configuratiewijzigingen, onbekende beheerderssessies en ongebruikelijk uitgaand verkeer te omvatten.

Organisaties dienen de geïnstalleerde build op elke actieve en stand-by node te verifiëren. Tijdelijke blokkeringsregels moeten worden beschouwd als een kortetermijnoplossing, aangezien bronadressen kunnen variëren. Getroffen klanten wordt aangeraden 'severity-one'-supportgevallen open te houden, uitsluitend leveranciersverstrekte mitigatiestappen te volgen en onverklaarde herstarts te behandelen als zowel een uptime-incident als een potentieel beveiligingsincident, totdat Citrix de volgende update uitbrengt.