Kwetsbaarheden in Citrix NetScaler ADC en NetScaler Gateway: update nu

Op 30-09-2026 zijn we met een update gekomen op wat de gevolgen van de kwetsbaarheden kunnen zijn en het geadviseerde handelingsperspectief. Lees hieronder de actuele versie.

Wat voor soort producten zijn het?

Citrix NetScaler ADC is een netwerk-systeem voor het optimaliseren, beveiligen en opschalen van applicaties. Het wordt onder andere gebruikt om netwerkverkeer te beheren en als een firewall voor applicaties. NetScaler Gateway is een dienst waarmee werknemers op afstand kunnen verbinden met het bedrijfsnetwerk, met een enkele gebruikersaccount overal op in kunnen loggen en verbinding maken met virtuele applicaties.

Hoe kunnen de kwetsbaarheden misbruikt worden

De twee ernstigste kwetsbaarheden, waarvan misbruik ondertussen al bevestigd is, hebben deze CVE-nummers:  CVE-2026-88771 en CVE-2026-88772. Alle NetScaler ADC en NetScaler Gateway servers zijn kwetsbaar voor CVE-2026-88771, waar een aanvaller op afstand zonder in te loggen misbruik van kan maken. Voor CVE-2026-88772 geldt dit ook zolang "DTLS", wat standaard aan staat bij VPN virtuele servers, ingeschakeld is.

In totaal heeft Citrix voor 8 kwetsbaarheden een CVE uitgebracht. Deze staan beschreven in de advisory van het NCSC. 

Wat zijn de gevolgen van de kwetsbaarheden?

De kwetsbaarheid met CVE-2026-88771 heeft het grootste risico. Daarmee kunnen aanvallers op afstand willekeurige commando's uitvoeren op de NetScaler. Dit wordt Remote Code Execution (RCE) genoemd. Daardoorkrijgen aanvallers de volledige controle over de gateway, wat directe toegang biedt naar het achterliggende interne bedrijfsnetwerk. 

Bij de andere kwetsbaarheid met CVE-2026-88772 kan een aanvaller geheugenlekken (memory overflows) veroorzaken. Daarmee kunnen aanvallers op afstand willekeurige commando's uitvoeren op de NetScaler (RCE). Een ander gevolg van misbruik kan zijn dat het systeem onvoorspelbaar gedrag vertoont of volledig crasht. Met als gevolg dat de VPN-, gateway- of load-balancing-diensten direct uitvallen en medewerkers niet meer extern kunnen werken. Dit wordt Denial of Service (DoS) genoemd.

Wat kun je doen?

Algemeen

Raadpleeg de Citrix en de NCSC advisory en volg het beschreven handelingsperspectief.

Stel veilig

Goede logging is essentieel om onderzoek te kunnen doen naar mogelijk misbruik en voor het vaststellen of het systeem is gecompromitteerd

Stel waar mogelijk een memory dump van het volledige RAM-geheugen, disk image en relevante logging veilig.  Hierbij is van belang dat je dit eerst doet voor je de beschikbare gestelde updates installeert en voordat je systemen bijwerkt of herstart.

Bewaar relevante gegevens zoals logging van ten minste één maand terug buiten het Citrix-systeem en zorg dat deze beschikbaar blijven voor onderzoek. Maak waar mogelijk extra back-ups op externe locaties. Op de website van Citrix is meer informatie te vinden over het bewaren van deze specifieke gegevens.

Controleer

Het is mogelijk om te controleren of jouw Netscaler-omgeving is getroffen.

Citrix heeft via NetScaler Console een scanscript en indicators-of-compromised (IoC's) beschikbaar gesteld. Klanten die geen gebruikmaken van NetScaler Console, dienen contact op te nemen met Citrix Support om toegang aan te vragen tot de relevante generieke IoC's.

Patch

Raadpleeg de Citrix-advisory en installeer, na het veiligstellen van de memory dump, disk image en logfiles, direct de beschikbaar gestelde updates.

Als je hier hulp bij nodig je of als je niet zeker weet of je een kwetsbare versie gebruikt, neem dan contact op met je IT-dienstverlener of Citrix-ondersteuning. Het NCSC adviseert om de aanbevolen maatregelen snel uit te voeren.