NetScaler-waarschuwing: actief misbruik bevestigd – dit moet je nu doen

🔴 Actief misbruik bevestigd – beveiligingsupdates beschikbaar

Citrix bevestigt actief misbruik van CVE-2026-88771 en CVE-2026-88772. Het NCSC adviseert beveiligingsupdates met spoed toe te passen en bij eerder blootgestelde systemen rekening te houden met mogelijke eerdere compromittering. Stel waar relevant logging en een memory dump veilig vóór de update.

Deze waarschuwing gaat over customer-managed NetScaler ADC- en NetScaler Gateway-systemen. Citrix-managed cloudservices en Citrix-managed Adaptive Authentication zijn volgens Citrix door Cloud Software Group bijgewerkt en vragen geen patchactie van klanten.

Wat is er bekend?

Citrix beschrijft acht kwetsbaarheden in CTX697096. Drie daarvan hebben een kritieke beoordeling:

• CVE-2026-88771: unauthenticated remote code execution. Deze kwetsbaarheid geldt voor alle getroffen NetScaler ADC- en Gateway-deployments; er hoeft geen aanvullende feature actief te zijn.
• CVE-2026-88772: memory overflow met risico op remote code execution of een denial of service. Hiervoor moet DTLS actief zijn. Bij een VPN virtual server is DTLS standaard actief, tenzij het expliciet is uitgeschakeld. Andere virtual servers zijn geraakt wanneer zij als DTLS-type zijn geconfigureerd.
• CVE-2026-88773: HTTP Request Smuggling bij deployments met HTTP-functionaliteit.

Citrix meldt actief misbruik van CVE-2026-88771 en CVE-2026-88772. Voor de andere kwetsbaarheden in het bulletin is in de officiële bronnen geen actief misbruik bevestigd.

Gebruikt je organisatie NetScaler? Doe dit nu

TODO – directe acties

☐ 1. Inventariseer alle NetScaler-instances

Breng alle NetScaler ADC- en Gateway-systemen in kaart. Registreer per instance minimaal:

• exacte versie en build;
• functie;
• internetbereikbaarheid;
• VPN- of Gatewayfunctie;
• DTLS-configuratie;
• verantwoordelijke beheerpartij;
• koppelingen met identity- en achterliggende systemen.

Neem fysieke MPX-systemen, SDX-omgevingen, VPX-instances, internetbereikbare virtual servers en managementinterfaces mee.

☐ 2. Bepaal of het systeem vóór de patch kwetsbaar en blootgesteld was

Controleer de gebruikte build tegen de officiële Citrix-advisory. Kwetsbaar zijn onder meer:

• NetScaler ADC en Gateway 14.1 vóór 14.1-73.37;
• NetScaler ADC en Gateway 13.1 vóór 13.1-64.23;
• NetScaler ADC 14.1-FIPS vóór 14.1-73.37 FIPS;
• NetScaler ADC 13.1-FIPS/NDcPP vóór 13.1-37.279.

CVE-2026-88771 geldt volgens Citrix voor alle getroffen NetScaler ADC- en Gateway-deployments. Daarvoor hoeft geen aanvullende feature geactiveerd te zijn. Leg vast of het systeem gedurende de kwetsbare periode vanaf internet of vanuit een ander relevant netwerksegment bereikbaar was.

☐ 3. Stel vóór de update relevante evidence veilig

Was het systeem gedurende de kwetsbare periode bereikbaar of blootgesteld? Stel dan vóór grote wijzigingen zoveel mogelijk relevante onderzoeksinformatie veilig:

• lokale NetScaler-logging;
• remote syslog en SIEM-data;
• firewalllogging;
• VPN- en authenticatielogs;
• configuratiegegevens;
• een snapshot, waar toepasselijk;
• een Technical Support Bundle;
• een memory dump of relevante coredump.

Het NCSC adviseert relevante logging en een memory dump veilig te stellen vóór installatie van de update. Een update voorkomt nieuw misbruik, maar sluit niet uit dat eerder al compromittering heeft plaatsgevonden.

Is een actieve aanval zichtbaar? Dan kan onmiddellijke isolatie zwaarder wegen dan volledige evidence preservation. Laat het incidentresponsteam die afweging maken.

☐ 4. Controleer op mogelijke compromittering

Gebruik de beschikbare informatie en Indicators of Compromise van Citrix en het NCSC. Onderzoek naast de appliance ook afwijkingen in authenticatie, netwerkverkeer en beheeractiviteiten.

Een negatieve IoC-scan is geen sluitend bewijs dat geen compromittering heeft plaatsgevonden.

Controle via NetScaler Console

Gebruik je NetScaler Console? Ga dan naar Security Advisory → CVE Detection en zoek naar:

• CVE-2026-88771;
• CVE-2026-88772.

NetScaler Console kan getroffen instances identificeren en doorzetten naar de upgrade-workflow. Het kan enige tijd duren voordat scans zichtbaar zijn. Start waar beschikbaar een on-demand scan met Scan-Now.

Deze functie helpt bij inventarisatie en remediation. Zij vervangt geen compromise assessment. Houd er rekening mee dat CVE Detection voor FIPS-instances volgens de NetScaler-documentatie niet wordt ondersteund.

☐ 5. Installeer daarna met spoed de beveiligingsupdate

Update naar minimaal:

• NetScaler ADC/Gateway 14.1 → 14.1-73.37 of nieuwer;
• NetScaler ADC/Gateway 13.1 → 13.1-64.23 of nieuwer;
• NetScaler ADC 14.1-FIPS → 14.1-73.37 FIPS of nieuwer;
• NetScaler ADC 13.1-FIPS/NDcPP → 13.1-37.279 of nieuwer.

Citrix heeft actief misbruik van CVE-2026-88771 en CVE-2026-88772 bevestigd. Voer de update daarom met spoed uit, maar sla bij eerder blootgestelde systemen het veiligstellen van evidence en de beoordeling op mogelijke compromittering niet over.

☐ 6. Controleer CVE-2026-88778: update alleen is hier niet voldoende

CVE-2026-88778 betreft voorspelbare TCP Initial Sequence Numbers. Controleer na de update of Enhanced ISN Generation actief is en voer de actuele configuratiestappen uit de officiële Citrix-documentatie uit.

Voor CVE-2026-88778 is alleen installeren van de nieuwe build niet voldoende. Citrix schrijft aanvullend een TCP-configuratiewijziging voor.

Controleer de huidige instelling met de officiële instructie. Rond de wijziging pas af nadat je hebt vastgesteld dat Enhanced ISN Generation correct actief is.

☐ 7. Isoleer een vermoedelijk gecompromitteerd systeem

Zijn er aanwijzingen voor compromittering? Behandel de NetScaler dan als een securityincident en isoleer het systeem waar dat verantwoord kan. Ga er niet vanuit dat de update bestaande toegang van een aanvaller verwijdert. Lees ook de eerste stappen na een cyberincident.

☐ 8. Onderzoek gekoppelde systemen en mogelijke laterale beweging

Controleer onder meer:

• Active Directory, LDAP en RADIUS;
• identityproviders en MFA-koppelingen;
• webservers, interne applicaties en managementservers;
• jump hosts en andere systemen die via de NetScaler bereikbaar waren;
• beheeraccounts en afwijkende beheeractiviteiten;
• aanwijzingen voor laterale beweging.

☐ 9. Controleer en roteer credentials, secrets en certificaten

Beoordeel serviceaccounts, LDAP-credentials, RADIUS shared secrets, API-keys, tokens, SNMP-communitygegevens, beheeraccounts en relevante gebruikersaccounts. Trek certificaten en private keys in en vervang ze wanneer de risicoanalyse of het incidentonderzoek daar aanleiding toe geeft. Doe dit gecontroleerd binnen het incidentresponsproces.

☐ 10. Rebuild bij bevestigde compromittering

Beperk herstel bij een daadwerkelijk gecompromitteerde NetScaler niet tot een firmware-update. Citrix adviseert voor een gecompromitteerde VPX-instance vervanging of herbouw en herstel vanuit een aantoonbaar schone configuratie. Controleer dat gebruikte backups dateren van vóór de compromittering.

☐ 11. Beoordeel meldplichten en afspraken

Beoordeel bij een mogelijke of bevestigde compromittering de meldplicht onder de AVG, contractuele afspraken en de Cyberbeveiligingswet en NIS2. Leg vast welke systemen geraakt kunnen zijn, welke informatie beschikbaar was, welke risicoanalyse is gemaakt, wie welke beslissing heeft genomen en welke vervolgcontrole plaatsvindt. Neem ook leveranciers- en ketenrisico mee.

☐ 12. Blijf Citrix en het NCSC volgen

Controleer officiële Citrix/NetScaler-securitybulletins, NCSC Alerts en communicatie van je CERT, CSIRT of securitydienstverlener. Structureel vulnerability management en patchmanagement helpen om deze opvolging aantoonbaar te organiseren.

Samenvatting voor snelle controle

• inventariseer alle instances en bepaal welke systemen vóór de update blootgesteld waren;
• stel relevante logging en een memory dump veilig vóór installatie van de update;
• controleer op mogelijke compromittering;
• installeer daarna met spoed de nieuwe build;
• voer voor CVE-2026-88778 ook de vereiste TCP-configuratiewijziging uit;
• behandel mogelijke eerdere compromittering als incident en onderzoek gekoppelde systemen.

Na het installeren van de firmware ben je dus nog niet klaar: CVE-2026-88778 vraagt een afzonderlijke controle en configuratieactie.

Wat moet je vooral niet doen?

Ga niet:

• patchen voordat bij een eerder blootgesteld systeem de benodigde evidence is veiliggesteld;
• aannemen dat een negatieve IoC-scan bewijst dat het systeem schoon is;
• ervan uitgaan dat de nieuwe build ook automatisch de vereiste configuratie voor CVE-2026-88778 activeert;
• na de update concluderen dat onderzoek naar eerdere compromittering niet meer nodig is;
• Citrix-managed cloudservices presenteren als systemen die de klant zelf moet patchen;
• belangrijke logs, snapshots of ander forensisch materiaal wissen voordat incidentrespons heeft beoordeeld wat nodig is.

Officiële NCSC-informatie

Het NCSC adviseert de updates met spoed te installeren. Voor systemen die vóór de update blootgesteld waren, adviseert het NCSC rekening te houden met eerdere compromittering en relevante logging en een memory dump veilig te stellen vóór installatie van de update.

Bekijk NCSC-2026-0394 →

Voor forensische achtergrond blijft ook de eerdere NCSC-casus over NetScaler-aanvallen relevant. De checkscripts uit die casus zijn aanvullende hulpmiddelen; een negatieve uitslag geeft geen zekerheid over afwezigheid van compromittering door de huidige kwetsbaarheden.

Bekijk de eerdere NCSC NetScaler-casus →

Een informatiebeveiligingsaudit of nulmeting informatiebeveiliging kan daarnaast helpen om vast te stellen of inventarisatie, kwetsbaarhedenbeheer, leverancierssturing en incidentrespons aantoonbaar werken.