Citrix heeft een nieuwe reeks beveiligingsupdates uitgebracht voor NetScaler ADC en NetScaler Gateway. Met de Citrix NetScaler patch verhelp je meerdere kwetsbaarheden, waaronder negen fouten met kritieke ernst. Daarnaast is er een afzonderlijke, kritieke issue in NetScaler Console gepatcht, met een CVSS-score van 9.4.
Hoewel Citrix niet aangeeft dat deze kwetsbaarheden al actief worden misbruikt in het wild, zijn NetScaler-omgevingen historisch gezien aantrekkelijk voor aanvallers. Daarom is snel patchen verstandig, zeker als je appliance’s internet- of partnertoegang leveren.
Wat Citrix patched in NetScaler ADC en Gateway
Citrix kondigt patches aan voor 28 kwetsbaarheden in NetScaler ADC en NetScaler Gateway. Negen daarvan hebben een kritieke ernst. De onderliggende problemen hangen samen met geheugenbeheer en verwerken van specifieke soorten netwerkverkeer.
De kritieke bugs zouden kunnen leiden tot onvoorspelbaar of fout gedrag of tot denial-of-service (DoS). In het overzicht van getroffen onderdelen noemt Citrix onder meer:
- Memory overflow in Packet Processing
- SMPP-verkeer (dataverkeer voor SMS-achtige toepassingen)
- DNS en DNS-over-HTTPS (DoH)
- NetScaler Push
- Email OTP-authenticatie
- Endpoint Analysis (EPA/EPAS)
- ICA proxy
De kritieke issues zijn gelabeld met CVE-codes zoals CVE-2026-120868, CVE-2026-107407 tot en met CVE-2026-107410, CVE-2026-107412, CVE-2026-107415, CVE-2026-111334 en CVE-2026-120864.
Welke versies moeten worden bijgewerkt
Om de Citrix NetScaler patch toe te passen, geeft Citrix concrete versievereisten aan. De updates gelden voor meerdere hoofdversies en varianten, waaronder FIPS-bouw en andere distributievarianten.
Volgens Citrix bevatten de relevante releases de volgende baselines (vanaf):
- NetScaler ADC/Gateway 14.1-73.57 en later
- NetScaler ADC/Gateway 13.1-64.39 en later
- NetScaler ADC/Gateway 14.1-73.58 FIPS en later
- NetScaler ADC/Gateway 13.1-FIPS en 13.1-NDcPP 13.1-37.293 en later
- NetScaler ADC/Gateway 13.1-FIPS en daarnaast 13.1-NDcPP 13.1-37.293 en later
Citrix vermeldt ook dat voor sommige kwetsbaarheden CVE-preconditions van toepassing zijn. Dat betekent dat niet elke scenario-inzet automatisch tot exploitatie leidt, maar je wilt hoe dan ook voorkomen dat je omgeving kwetsbaar blijft.
Nog 19 high-severity kwetsbaarheden (en een medium issue over logs)
Naast de negen kritieke bugs zijn er in totaal 19 high-severity kwetsbaarheden. Citrix beschrijft dat ook deze fouten kunnen leiden tot vergelijkbare effecten, zoals fout gedrag of het ontstaan van DoS-situaties.
Daarnaast zijn er ook medium-severityCVE-2026-111338, die volgens Citrix gevoelige authenticatiematerialen in een logbestand kan blootleggen.
Daarom is patching niet alleen een beschikbaarheidsvraagstuk, maar ook relevant voor vertrouwelijkheid. Vergeet in je aanpak niet om logbestanden en opslagprocessen te controleren waar dat soort informatie terecht kan komen.
Losse patch: kritieke kwetsbaarheid in NetScaler Console
Naast updates voor NetScaler ADC en Gateway kondigt Citrix ook een afzonderlijke beveiligingsupdate aan voor NetScaler Console. Het gaat om een kritieke kwetsbaarheid met CVE-nummer CVE-2026-120869 en een CVSS-score van 9.4.
Volgens Citrix kan deze fout ongeauthenticeerde aanvallers helpen om controles te omzeilen en toegang te krijgen tot afgeschermde resources. Het effect geldt voor NetScaler Console 14.1-releases die lager zijn dan 14.1-74.34.
Deze combinatie — hoge score, ongeauthenticeerde omzeiling en toegang tot restricties — maakt dat je hier echt prioriteit aan moet geven binnen je patchplanning.
Praktische aanpak voor patching en risicobeperking
Ook als Citrix geen actieve exploitatie noemt, is een NetScaler-omgeving vaak een schakel in externe toegang. Daarom kun je het beste werken met een duidelijke aanpak:
- Inventariseer direct welke NetScaler ADC/Gateway en welke NetScaler Console versies je draait.
- Prioriteer systemen die internetverkeer verwerken (DNS/DoH, ICA proxy, authenticatieflows) en console-onderdelen.
- Patch volgens de door Citrix genoemde baselines (inclusief FIPS-varianten waar van toepassing).
- Controleer log- en authenticatieprocessen op mogelijke blootstelling, zeker bij kwetsbaarheden rond gevoelige data in logs.
- Valideer na de update of de services stabiel blijven en of verwachte verkeerstromen correct functioneren.
Als je team werkt met een beveiligingslaag rondom web- en applicatiechecks, dan kan het ook helpen om integrale monitoring toe te passen, zodat je afwijkingen sneller ziet nadat je wijzigingen hebt doorgevoerd. Meer context over hoe agenten webapp- of servicechecks kunnen ondersteunen vind je in AI-beveiligingsagenten voor webapp checks: Daybreak.
Waarom NetScaler vaak doelwit is
Citrix benoemt zelf niet dat de gepatchte kwetsbaarheden al in het wild worden misbruikt. Toch is het niet verwonderlijk dat NetScaler-issues regelmatig in campagnes terugkomen. NetScaler vormt vaak een knooppunt voor toegang en verkeer dat door meerdere netwerken loopt.
Als aanvallers eenmaal binnen de juiste voorwaarden opereren, kunnen memory issues of loggerelateerde zwaktes leiden tot denial-of-service of tot het verkrijgen van extra informatie. Dat verklaart waarom Citrix zowel beschikbaarheid als vertrouwelijkheid als effectgebieden noemt.
Gerelateerde beveiligingsupdates om mee te nemen
Terwijl je de Citrix NetScaler patch doorvoert, is het nuttig om tegelijk breder naar je omgeving te kijken. In eerdere berichtgeving zagen we bijvoorbeeld dat zero-days en kwaadaardige payloads gericht kunnen zijn op netwerk-appliances en gateways. Handige achtergrond vind je in:
- N-able N-central: exploit 4EverAble2Shell en Agent2Shell
- PHP2Shell: wiper-aanvallen op Check Point gateways
- Red Hat Quay: kritieke kwetsbaarheid voor private images
Die voorbeelden onderstrepen vooral één punt: wanneer je patcht, check dan ook je keten van afhankelijkheden (gateways, consoles, logging, en de processen daaromheen).
Conclusie: patch snel en maak je mitigatie compleet
Met de Citrix NetScaler patch verhelp je een reeks kwetsbaarheden in NetScaler ADC en NetScaler Gateway, waaronder negen kritieke issues die kunnen resulteren in fout gedrag of DoS. Daarnaast is er een aparte kritieke bug in NetScaler Console gepatcht die ongeauthenticeerde omzeiling van controles kan mogelijk maken.
Omdat NetScaler-appliances vaak centraal staan in toegang en verkeer, is het verstandig om de door Citrix genoemde versies te vergelijken met je actuele deployment en je patch- en validatiestappen snel af te ronden.
Bron: https://www.securityweek.com/citrix-patches-10-critical-netscaler-vulnerabilities/
