1. Op vrijdag 2 oktober 2026 is een zero-day kwetsbaarheid, aangeduid als CVE-2026-88779, ontdekt in Citrix NetScaler producten. Dit is de derde publiekelijk geëxploiteerde NetScaler zero-day kwetsbaarheid binnen een tijdsbestek van twee weken.
2. De exploitatie van CVE-2026-88779 begon waarschijnlijk op vrijdag 2 oktober 2026. Het is relatief eenvoudig om de kwetsbaarheid te triggeren met een enkele speciaal vervaardigde request, wat een apparaat offline kan halen. Exploitatie vindt reeds plaats en het verstoren van een authenticatie gateway kan legitieme gebruikers de toegang tot diensten ontzeggen.
3. De kwetsbaarheid vereist niet standaard exploitatie tegen elke NetScaler implementatie en is minder zorgwekkend omdat exploitatie leidt tot denial of service. De impact is beperkt tot instanties met SAML ingeschakeld.
4. Exploitatiepogingen van CVE-2026-88779 bevatten shellcode die impliceert dat de bedreiger gelooft dat deze kwetsbaarheid gebruikt kan worden, mogelijk in combinatie met een andere kwetsbaarheid, om remote code execution te bereiken. De nieuwere kwetsbaarheid deelt geen technische verbanden met de twee zero-days die Citrix minder dan een week eerder bekendmaakte. Desondanks kan CVE-2026-88779 een van de eerdere kwetsbaarheden versnellen door machines opzettelijk te laten crashen om exploitatie te versnellen.
5. Op vrijdag 2 oktober 2026 heeft Citrix klanten gewaarschuwd voor de bedreiging. Op zaterdag 3 oktober 2026 heeft Citrix een gedetailleerdere blogpost en beveiligingsadvies gepubliceerd met een patch. Citrix heeft naar eigen zeggen direct een mitigatie ontwikkeld en gepubliceerd, terwijl gelijktijdig een oplossing werd ontwikkeld, getest en uitgerold.
6. De reactie van Citrix op deze nieuwste kwetsbaarheid wordt als beter beoordeeld dan op eerdere kwetsbaarheden. Dit bood enige verlichting aan klanten en onderzoekers die in het weekend van 25-26 september 2026 bezig waren met het beoordelen van geruchten over andere defecten in netwerk edge gateways, en stelde klanten in staat risico-gebaseerde beslissingen te nemen met meer beschikbare informatie. In het geval van de kwetsbaarheden van het vorige weekend nam Citrix het merendeel van het weekend om te bevestigen dat aanvallers actief een paar NetScaler zero-days aan het exploiteren waren.
7. Op zondag 4 oktober 2026 heeft de Cybersecurity and Infrastructure Security Agency de kwetsbaarheid toegevoegd aan de catalogus van bekende geëxploiteerde kwetsbaarheden.
8. Citrix heeft niet bekendgemaakt hoeveel klanten getroffen zijn door de nieuwste zero-day of wanneer de eerste exploitatie plaatsvond.