Citrix heeft een reeks beveiligingspatches uitgebracht voor meerdere kritieke kwetsbaarheden in Citrix patcht NetScaler. Het gaat onder meer om problemen in NetScaler ADC en NetScaler Gateway die kunnen leiden tot een denial-of-service (DoS). Daarnaast waarschuwt Citrix voor een kwetsbaarheid in NetScaler Console die de authenticatiecontroles kan omzeilen.
Voor organisaties die NetScaler gebruiken als onderdeel van hun toegangs- of load-balancing-architectuur is dit geen “later”-klus. Door de combinatie van hoge CVSS-scores en impact is snelle patching dringend aan te raden.
Kritieke impact op NetScaler ADC en Gateway
Volgens Citrix treffen meerdere geheugen- en dataverwerkingsfouten alle NetScaler ADC- en NetScaler Gateway-inzetvormen binnen bepaalde configuraties. Bij deze fouten is het risico dat het systeem zich onvoorspelbaar gedraagt of vastloopt, met DoS als gevolg.
Kwetsbaarheden met kans op DoS (CVSS tot 9,5)
- CVE-2026-120868 (CVSS 9,3): memory overflow in packet processing. Dit kan leiden tot onverwacht gedrag of DoS. Dit geldt voor alle NetScaler ADC- en NetScaler Gateway-deployments.
- CVE-2026-107407 (CVSS 9,3): memory overflow in SMPP-verkeer. Specifiek voor NetScaler ADC met een Load Balancing of Content Switching virtuele server van het type SMPP.
- CVE-2026-107408 (CVSS 9,3): memory corruption in DNS/DNS-over-HTTPS (DoH). Van toepassing bij DNS-load-balancing en recursieve DNS-resolutie op NetScaler ADC.
- CVE-2026-107409 (CVSS 9,3): memory corruption in DNS-over-HTTPS (DoH). Voor NetScaler configuraties met DNS Load Balancing via HTTPS.
- CVE-2026-107410 (CVSS 9,3): memory overflow in NetScaler Push. Voor NetScaler als Load Balancing virtuele server van het type PUSH.
- CVE-2026-107412 (CVSS 9,5): meerdere memory overflow-kwetsbaarheden. Dit raakt een Gateway of AAA virtuele server.
- CVE-2026-107415 (CVSS 9,3): memory overflow in Email OTP authentication. Onder andere relevant wanneer NetScaler ADC of Gateway is geconfigureerd met een Email Action.
- CVE-2026-111344 (CVSS 9,3): memory overflow in Endpoint Analysis (EPA/EPAS). Dit geldt voor NetScaler als VPN virtuele server of een AAA virtuele server met Endpoint Analysis.
- CVE-2026-120864 (CVSS 9,3): memory overflow in ICA proxy. Relevant bij Gateway VPN, AAA virtuele servers en bij een CR virtuele server van type HDX.
Citrix noemt meerdere “All NetScaler ADC and NetScaler Gateway”-raakvlakken, maar ook specifieke scenario’s op basis van virtuele server-types. Dat betekent: check niet alleen het product, maar vooral ook de configuratie die je organisatie gebruikt.
Patch snel: authenticatie bypass in NetScaler Console
Naast DoS-problemen is er een kwetsbaarheid gemeld met authenticatie-bypass in NetScaler Console. Een aanvaller zou dan controles kunnen omzeilen en toegang kunnen krijgen tot afgeschermde resources op het apparaat.
- CVE-2026-120869 (CVSS 9,4): improper authentication. NetScaler Console kan onbedoeld authenticatiecontroles omzeilen. Gefixt in NetScaler Console 14.1-74.34 en later.
Citrix geeft aan dat zij geen actieve exploits kennen voor de aangekondigde kwetsbaarheden. Toch is het advies om de updates door te voeren, omdat de patches bedoeld zijn om de beveiligingspositie van NetScaler te verbeteren.
Secure Access Client: privilege-eskalatie op Windows en Linux
Citrix adresseert ook kwetsbaarheden in Secure Access Client voor Windows en Linux. Het gaat om fouten in privilege management waarmee een gebruiker met beperkte rechten rechten kan verhogen naar SYSTEM of root.
- CVE-2026-118268 (CVSS 8,5): improper privilege management in Secure Access Client voor Windows. Oplossing in Secure Access Client for Windows 26.11.1.6 en later.
- CVE-2026-118269 (CVSS 8,5): improper privilege management in Secure Access Client voor Linux. Oplossing in Secure Access Client for Linux 26.10.4 en later.
Dit soort fouten kan vooral riskant zijn in omgevingen waar gebruikers toegang hebben tot clientsoftware als onderdeel van remote access of VPN-achtige workflows. Zorg dat je endpoints en updatekanalen meeneemt in het patchplan.
Welke versies moet je installeren?
Citrix heeft de beveiligingsupdates gekoppeld aan specifieke release-tracks voor NetScaler ADC en NetScaler Gateway. Hieronder staan de versies zoals genoemd door Citrix:
- Citrix NetScaler ADC en Citrix NetScaler Gateway 14.1-73.57 en later
- Citrix NetScaler ADC en Citrix NetScaler Gateway 13.1-64.39 en later (voor 13.1)
- Citrix NetScaler ADC 14.1-FIPS 14.1-73.58 en later (voor 14.1-FIPS)
- Citrix NetScaler ADC 13.1-FIPS en 13.1-NDcPP 13.1-37.293 en later (voor 13.1-FIPS/NDcPP)
Daarnaast geldt de patch voor NetScaler Console: 14.1-74.34 en later.
Voor Secure Access Client geldt respectievelijk: Windows 26.11.1.6+ en Linux 26.10.4+.
Waarom deze update tegelijk cyber én operationeel raakt
De DoS-achtige impact (memory overflows/corruptie) betekent dat beschikbaarheid van services in het geding kan komen. Denk aan klanttoegang, interne applicaties die via de gateway lopen, en load-balancing van verkeer naar backends.
De authenticatie- en privilegecomponenten betekenen bovendien dat het niet alleen om “down-time” gaat. Bij misbruik kan een aanvaller bijvoorbeeld beperkingen omzeilen of privileges verhogen, wat de impact op incidentniveau aanzienlijk groter maakt.
Als je deze release verwerkt in je change-proces, neem dan ook logging en monitoring mee. Zo kun je sneller vaststellen of er afwijkingen waren vóórdat de patch werd toegepast.
Praktische checklist om vandaag nog actie te nemen
- Inventariseer welke NetScaler ADC/Gateway, Console en Secure Access Client versies jullie gebruiken.
- Check configuraties op virtuele server-types en functies die in de lijst voorkomen (bijvoorbeeld DNS/DoH, SMPP, Push, EPA/EPAS en Email OTP).
- Plan patchvensters en houd rekening met mogelijke beschikbaarheidsimpact tijdens updates.
- Valideer na installatie dat de services en integraties opnieuw correct werken.
- Herhaal voor endpoints: zorg dat Secure Access Client op Windows en Linux up-to-date is.
Wil je breder kijken naar hoe je patchprioriteiten afstemt op risico? Dan is dit artikel over Citrix en Ivanti: patch kritieke lekken mogelijk een goede aanvulling voor je aanpak.
Extra aandacht voor security governance en AI-ondersteuning
Citrix stelt dat de updates volgen uit een diepere code-review, waarbij AI-ondersteunde codeanalyse is ingezet om kwetsbaarheden op te sporen en te verhelpen voordat aanvallen zich kunnen voordoen. Dat biedt geen garantie tegen nieuwe fouten, maar het kan wel verklaren waarom meerdere problemen in één release-tranche samenkomen.
Voor jou als organisatie blijft het kernpunt ongewijzigd: het technische werk (patchen) en het operationele werk (testen, uitrollen, controleren) moeten tegelijk gebeuren.
Conclusie
Citrix patcht NetScaler met updates voor meerdere kritieke kwetsbaarheden in NetScaler ADC, NetScaler Gateway en NetScaler Console, plus privilege-eskalatieproblemen in Secure Access Client voor Windows en Linux. Hoewel Citrix geen bekende exploits meldt, is de combinatie van hoge ernst en mogelijke impact op beschikbaarheid en toegang reden genoeg om snel te handelen.
Pak het gestructureerd aan: breng versies en configuraties in kaart, installeer de genoemde releases, test de belangrijkste services en controleer daarna zowel de appliance-kant als de clientkant.
Bron: https://thehackernews.com/2026/11/citrix-patches-12-netscaler-and-secure.html
