-
13 oktober 2026 om 17:32 | person_outline 19
Kwetsbaarheden in Citrix NetScaler leiden tot wereldwijde exploitatie
Twee kritieke zero-day kwetsbaarheden in Citrix NetScaler ADC en NetScaler Gateway worden momenteel wereldwijd actief misbruikt. De kwetsbaarheden, aangeduid als CVE-2026-88771 en CVE-2026-88772, stellen aanvallers in staat om op afstand code uit te voeren op blootgestelde systemen. Beide kwetsbaarheden hebben een zeer ernstige beveiligingsscore van 9.5 van de 10 (CVSS v4).
CVE-2026-88771 betreft een probleem met ongeldige invoervalidatie. Hierdoor kunnen niet-geauthenticeerde aanvallers op afstand willekeurige commando's uitvoeren. Dit vereist slechts een lage 'attack complexity', wat betekent dat er geen account of gebruikersinteractie nodig is. CVE-2026-88772 is een geheugenoverflowkwetsbaarheid die kan leiden tot remote code execution of denial-of-service. Exploitatie hiervan vereist dat Datagram Transport Layer Security (DTLS) is ingeschakeld, wat standaard het geval is op NetScaler VPN-virtuele servers, tenzij dit expliciet is uitgeschakeld.
Deze kwetsbaarheden zijn toegevoegd aan de catalogus van Bekende Uitgebuiten Kwetsbaarheden van de U.S. Cybersecurity and Infrastructure Security Agency (CISA). CISA heeft meldingen ontvangen over wereldwijde exploitatieactiviteiten. Aanvallers maakten al misbruik van deze zero-day kwetsbaarheden voor remote code execution voordat Citrix fixes publiek maakte. Beide zero-days, samen met zes andere NetScaler-kwetsbaarheden, werden op 27 september 2026 openbaar gemaakt. Op 9 oktober 2026 heeft CISA zijn waarschuwing bijgewerkt met betrekking tot CVE-2026-107406 en de dringende noodzaak van updates voor diverse NetScaler-kwetsbaarheden benadrukt.
Een aparte, eveneens actief geëxploiteerde, kwetsbaarheid is CVE-2026-88779, een SAML-gerelateerde fout die kan leiden tot denial-of-service en kan assisteren bij code-injectie via exploitatie van CVE-2026-88771. Citrix heeft noodupdates uitgebracht nadat exploitatie tegen ongepatchte, door klanten beheerde NetScaler-implementaties werd bevestigd.
De kwetsbare releases omvatten NetScaler ADC en Gateway 14.1-versies vóór 14.1-73.37 en 13.1-versies vóór 13.1-64.23. Ook NetScaler ADC 14.1-FIPS builds vóór 14.1-73.37 FIPS en 13.1-FIPS of NDcPP builds vóór 13.1-37.279 zijn kwetsbaar. Citrix beveelt versie 14.1-73.37 of later aan voor de 14.1-branch en 13.1-64.23 of later voor de 13.1-branch. Secure Private Access Hybrid-klanten die kwetsbare NetScaler-instanties gebruiken, moeten deze upgraden. Citrix-beheerde clouddiensten zijn niet getroffen, aangezien Cloud Software Group de updates direct toepast.
Organisaties wordt aangeraden te controleren of DTLS is ingeschakeld op NetScaler VPN en andere virtuele servers met betrekking tot CVE-2026-88772. CISA heeft geadviseerd om te zoeken naar tekenen van compromis alvorens updates toe te passen en om NetScaler-logs te verzenden naar een centraal SIEM of log-retentieplatform. CISA heeft tevens een Sigma-detectieregelbron gepubliceerd ter ondersteuning van threat hunting voor verdachte NetScaler-activiteiten.
De hoogste prioriteit voor organisaties is het patchen van blootgestelde NetScaler-systemen, het bewaren van logs vóór grote wijzigingen, en het beoordelen van authenticatie- en administratieve activiteiten. Er moet van worden uitgegaan dat een kwetsbaar, internet-facing apparaat mogelijk is gescand of gecompromitteerd. Bij vermoeden van compromis adviseert Citrix om het getroffen apparaat te isoleren, credentials en opgeslagen geheimen te wijzigen, certificaten en privésleutels in te trekken, verbonden systemen te onderzoeken en opnieuw op te bouwen vanuit een bekende, goede back-up die dateert van vóór het vermeende compromis.
CVE-2026-88771 betreft een probleem met ongeldige invoervalidatie. Hierdoor kunnen niet-geauthenticeerde aanvallers op afstand willekeurige commando's uitvoeren. Dit vereist slechts een lage 'attack complexity', wat betekent dat er geen account of gebruikersinteractie nodig is. CVE-2026-88772 is een geheugenoverflowkwetsbaarheid die kan leiden tot remote code execution of denial-of-service. Exploitatie hiervan vereist dat Datagram Transport Layer Security (DTLS) is ingeschakeld, wat standaard het geval is op NetScaler VPN-virtuele servers, tenzij dit expliciet is uitgeschakeld.
Deze kwetsbaarheden zijn toegevoegd aan de catalogus van Bekende Uitgebuiten Kwetsbaarheden van de U.S. Cybersecurity and Infrastructure Security Agency (CISA). CISA heeft meldingen ontvangen over wereldwijde exploitatieactiviteiten. Aanvallers maakten al misbruik van deze zero-day kwetsbaarheden voor remote code execution voordat Citrix fixes publiek maakte. Beide zero-days, samen met zes andere NetScaler-kwetsbaarheden, werden op 27 september 2026 openbaar gemaakt. Op 9 oktober 2026 heeft CISA zijn waarschuwing bijgewerkt met betrekking tot CVE-2026-107406 en de dringende noodzaak van updates voor diverse NetScaler-kwetsbaarheden benadrukt.
Een aparte, eveneens actief geëxploiteerde, kwetsbaarheid is CVE-2026-88779, een SAML-gerelateerde fout die kan leiden tot denial-of-service en kan assisteren bij code-injectie via exploitatie van CVE-2026-88771. Citrix heeft noodupdates uitgebracht nadat exploitatie tegen ongepatchte, door klanten beheerde NetScaler-implementaties werd bevestigd.
De kwetsbare releases omvatten NetScaler ADC en Gateway 14.1-versies vóór 14.1-73.37 en 13.1-versies vóór 13.1-64.23. Ook NetScaler ADC 14.1-FIPS builds vóór 14.1-73.37 FIPS en 13.1-FIPS of NDcPP builds vóór 13.1-37.279 zijn kwetsbaar. Citrix beveelt versie 14.1-73.37 of later aan voor de 14.1-branch en 13.1-64.23 of later voor de 13.1-branch. Secure Private Access Hybrid-klanten die kwetsbare NetScaler-instanties gebruiken, moeten deze upgraden. Citrix-beheerde clouddiensten zijn niet getroffen, aangezien Cloud Software Group de updates direct toepast.
Organisaties wordt aangeraden te controleren of DTLS is ingeschakeld op NetScaler VPN en andere virtuele servers met betrekking tot CVE-2026-88772. CISA heeft geadviseerd om te zoeken naar tekenen van compromis alvorens updates toe te passen en om NetScaler-logs te verzenden naar een centraal SIEM of log-retentieplatform. CISA heeft tevens een Sigma-detectieregelbron gepubliceerd ter ondersteuning van threat hunting voor verdachte NetScaler-activiteiten.
De hoogste prioriteit voor organisaties is het patchen van blootgestelde NetScaler-systemen, het bewaren van logs vóór grote wijzigingen, en het beoordelen van authenticatie- en administratieve activiteiten. Er moet van worden uitgegaan dat een kwetsbaar, internet-facing apparaat mogelijk is gescand of gecompromitteerd. Bij vermoeden van compromis adviseert Citrix om het getroffen apparaat te isoleren, credentials en opgeslagen geheimen te wijzigen, certificaten en privésleutels in te trekken, verbonden systemen te onderzoeken en opnieuw op te bouwen vanuit een bekende, goede back-up die dateert van vóór het vermeende compromis.
Facts
1. Twee kritieke zero-day kwetsbaarheden, CVE-2026-88771 en CVE-2026-88772, in Citrix NetScaler ADC en NetScaler Gateway worden actief misbruikt. Deze kwetsbaarheden maken op afstand uitvoeren van code mogelijk op blootgestelde systemen.
2. Beide kwetsbaarheden hebben een CVSS v4-score van 9.5 van 10, wat wijst op een zeer ernstig beveiligingsrisico.
3. CVE-2026-88771 betreft een probleem met ongeldige invoervalidatie. Een niet-geauthenticeerde aanvaller kan hiermee op afstand willekeurige commando's uitvoeren. Dit vereist lage attack complexity, wat betekent dat geen account of gebruikersinteractie nodig is.
4. CVE-2026-88772 is een geheugenoverflowkwetsbaarheid die kan leiden tot remote code execution of denial-of-service. Exploitatie hiervan vereist dat Datagram Transport Layer Security (DTLS) is ingeschakeld. DTLS is standaard ingeschakeld op NetScaler VPN-virtuele servers, tenzij dit expliciet is uitgeschakeld.
5. De kwetsbaarheden zijn toegevoegd aan de catalogus van Bekende Uitgebuiten Kwetsbaarheden van de U.S. Cybersecurity and Infrastructure Security Agency (CISA). CISA heeft meldingen ontvangen over wereldwijde exploitatieactiviteiten.
6. Aanvallers misbruikten deze zero-day kwetsbaarheden voor remote code execution al voordat Citrix fixes publiek maakte.
7. Beide zero-days, samen met zes andere NetScaler-kwetsbaarheden, werden op 27 september 2026 openbaar gemaakt. Op 9 oktober 2026 heeft CISA zijn waarschuwing bijgewerkt om CVE-2026-107406 op te nemen en de dringende updates voor een reeks NetScaler-kwetsbaarheden te benadrukken.
8. CVE-2026-88779 is een aparte, ook actief geëxploiteerde, SAML-gerelateerde NetScaler-kwetsbaarheid. Deze kan leiden tot denial-of-service en kan helpen bij de uitvoering van code die eerder is geïnjecteerd via exploitatie van CVE-2026-88771.
9. Citrix heeft noodupdates uitgebracht nadat exploitatie tegen ongepatchte, door klanten beheerde NetScaler-implementaties werd bevestigd.
10. Kwetsbare releases zijn NetScaler ADC en Gateway 14.1-versies vóór 14.1-73.37 en 13.1-versies vóór 13.1-64.23. Ook NetScaler ADC 14.1-FIPS builds vóór 14.1-73.37 FIPS en 13.1-FIPS of NDcPP builds vóór 13.1-37.279 zijn kwetsbaar.
11. Citrix beveelt versie 14.1-73.37 of later aan voor de 14.1-branch en 13.1-64.23 of later voor de 13.1-branch. Secure Private Access Hybrid-klanten die kwetsbare NetScaler-instanties gebruiken, moeten deze upgraden.
12. Citrix-beheerde clouddiensten vallen niet onder dit bulletin, omdat Cloud Software Group updates direct toepast.
13. Organisaties wordt aangeraden om te controleren of DTLS is ingeschakeld op NetScaler VPN en andere virtuele servers met betrekking tot CVE-2026-88772.
14. CISA heeft geadviseerd om te zoeken naar tekenen van compromis voordat updates worden toegepast en om NetScaler-logs te verzenden naar een centraal SIEM of log-retentieplatform. CISA heeft ook een Sigma-detectieregelbron gepubliceerd ter ondersteuning van threat hunting voor verdachte NetScaler-activiteiten.
15. De belangrijkste prioriteit voor verdedigers is het patchen van blootgestelde NetScaler-systemen, het bewaren van logs vóór grote wijzigingen, en het beoordelen van authenticatie- en administratieve activiteiten. Er moet van uitgegaan worden dat een kwetsbaar internet-facing apparaat mogelijk is gescand of gecompromitteerd.
16. Bij vermoeden van compromis adviseert Citrix om het getroffen apparaat te isoleren, credentials en opgeslagen geheimen te wijzigen, certificaten en privésleutels in te trekken, verbonden systemen te onderzoeken en opnieuw op te bouwen vanuit een bekende, goede back-up die dateert van vóór het vermeende compromis.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord