Twee Citrix NetScaler zero-days, CVE-2026-88771 en CVE-2026-88772, werden wekenlang in het wild misbruikt voordat Citrix in het weekend van 27–28 september 2026 een fix uitbracht. Beide hebben een CVSS-score van 9.5, beide maken externe code-uitvoering mogelijk op apparaten die aan internet hangen, en de CISA gaf Amerikaanse federale instanties tot 30 september om te patchen. Draai je NetScaler ADC of Gateway, dan is dit het dringende punt: upgraden sluit de deur, maar het vertelt je niet of er al iemand doorheen is gelopen. Je moet patchen én op inbraak jagen, in die volgorde van urgentie, maar niet in die volgorde van volledigheid.
Dit is een nieuwsanalyse van wat de twee kwetsbaarheden zijn, de tijdlijn van het misbruik, wie onderzoekers erachter vermoeden en welke herstelstappen er echt toe doen.
Wat CVE-2026-88771 en CVE-2026-88772 werkelijk zijn
De twee fouten zijn verschillende soorten fout in hetzelfde apparaat, en een aanvaller kan ze bereiken zonder zich te authenticeren. CVE-2026-88771 is een probleem met onjuiste invoervalidatie waardoor een externe, niet-geauthenticeerde aanvaller willekeurige commando's kan uitvoeren. CVE-2026-88772 is een geheugenoverloop die kan worden gedreven tot externe code-uitvoering of een denial-of-service-toestand. Omdat NetScaler Gateway aan de rand van het netwerk zit als apparaat voor externe toegang en load balancing, landt een werkende exploit meteen op een apparaat dat al lijnen naar het interne netwerk heeft.
| CVE | Type | CVSS | Wat het een aanvaller oplevert |
|---|---|---|---|
| CVE-2026-88771 | Onjuiste invoervalidatie | 9.5 (kritiek) | Niet-geauthenticeerde externe commando-uitvoering |
| CVE-2026-88772 | Geheugenoverloop | 9.5 (kritiek) | Externe code-uitvoering of denial of service |
Geen van beide fouten vereist een geldige sessie, een gestolen inloggegeven of interactie van de gebruiker. Die combinatie — pre-auth, netwerkrand, code-uitvoering — is waarom beide fouten bovenaan de ernstschaal staan en waarom ze tot wapen werden gemaakt voordat de meeste verdedigers wisten dat ze bestonden.
Welke NetScaler-versies zijn getroffen
Citrix publiceerde de fixes in bulletin CTX697096. De getroffen en gerepareerde builds zijn:
| Branch | Gerepareerd in |
|---|---|
| NetScaler ADC & Gateway 14.1 | 14.1-73.37 en later |
| NetScaler ADC & Gateway 13.1 | 13.1-64.23 en later |
| NetScaler ADC FIPS 14.1 | 14.1-73.37 FIPS en later |
| NetScaler ADC FIPS / NDcPP 13.1 | 13.1-37.279 en later |
Alleen door de klant beheerde NetScaler-apparaten vereisen actie; door Citrix beheerde clouddiensten worden door Citrix afgehandeld. Oudere branches die het einde van hun levensduur hebben bereikt, krijgen geen patch, dus alles wat op een niet-ondersteunde build draait, moet als blootgesteld worden behandeld en onmiddellijk naar een ondersteunde branch worden geüpgraded. Citrix adviseerde organisaties die niet meteen kunnen patchen om de internetblootstelling van de apparaten te beperken waar dat operationeel mogelijk is, totdat ze dat wel kunnen.
De tijdlijn: misbruikt voordat iemand was ingelicht
Dit was een zero-day in de strikte zin — de aanvallen kwamen eerst, de onthulling later. De Google Threat Intelligence Group en Mandiant herleidden het misbruik van CVE-2026-88772 tot begin september 2026, weken vóór enige openbare melding. GreyNoise zag de misbruikactiviteit rond 26 september oplopen, Citrix begon klanten op 28 september te zeggen dat ze getroffen servers moesten loskoppelen, en het officiële bulletin volgde dat weekend. De CISA voegde beide CVE's op 27 september toe aan haar catalogus van bekende misbruikte kwetsbaarheden met een federale hersteldeadline van 30 september.
De kloof tussen het eerste misbruik en de openbare onthulling is het hele verhaal. Tegen de tijd dat beheerders een patch in handen hadden, hadden goed uitgeruste aanvallers al een voorsprong van meerdere weken op een apparaat dat de toegang tot alles erachter regelt.
Wie zit er achter de aanvallen
De vingerafdrukken wijzen op spionage, niet op gelegenheidsaanvallers. Mandiant meldde dat de dreigingsactor web shells plaatste op gecompromitteerde NetScaler-systemen en zich lateraal naar interne netwerken bewoog bij sommige slachtoffers. Charles Carmakal van Mandiant zei dat tientallen organisaties in Noord-Amerika en Europa werden getroffen, verspreid over overheid, financiële dienstverlening, onderwijs, telecom, juridische en professionele diensten. Onafhankelijk onderzoeker Kevin Beaumont typeerde de operators als "waarschijnlijk op een natiestaat afgestemd", goed uitgerust en gericht op spionage in plaats van op een snelle slag. De Shadowserver Foundation telde meer dan 20,000 potentieel kwetsbare NetScaler-instanties die online waren blootgesteld — de vijver waaruit de aanvallers kozen.
Wat nu te doen (patchen is stap één, niet de finish)
Het belangrijkste operationele punt uit dit incident is er een dat de meeste koppen begraven: upgraden verdrijft geen aanvaller die al binnen is. Carmakal waarschuwde expliciet dat klanten moeten controleren of ze zijn gecompromitteerd voordat ze upgraden, want een schoon ogend, gepatcht apparaat kan nog steeds een web shell huisvesten of dieper in het netwerk persistentie hebben gezaaid. Een praktische volgorde van handelen:
- Patch naar de gerepareerde build voor je branch (14.1-73.37, 13.1-64.23 of de bijbehorende FIPS/NDcPP-build) — of haal het apparaat offline als je nog niet kunt patchen.
- Jaag voordat je het apparaat vertrouwt. Onderzoekers raden aan logs te doorzoeken op afwijkende base64-strings na het User-Agent-veld en op strings die "pitboss" bevatten gevolgd door "IFS"; de geplaatste web shells zijn uniek per apparaat, dus alleen op handtekeningen gebaseerde controles volstaan niet.
- Ga uit van diefstal van inloggegevens en sessies. Randapparaten als dit zijn eerder misbruikt om sessietokens te ontvreemden, dus roteer geheimen en maak actieve sessies ongeldig nadat je hebt bevestigd dat het apparaat schoon is.
- Zoek naar laterale beweging, niet alleen naar de NetScaler zelf. Het gemelde gedrag van de aanvaller was om naar binnen te draaien, dus de werkelijke straal van de schade zijn de interne hosts die het apparaat kon bereiken.
Voor het grotere plaatje over waarom het plaatsen van één enkel VPN-achtig apparaat aan de rand dit soort risico concentreert, zie onze uitleg over Zero Trust versus VPN in 2026. Dit maakt ook deel uit van een breder patroon uit 2026 van pre-auth RCE's in rand- en samenwerkingssoftware — hetzelfde draaiboek liep tegen SharePoint en tegen de SimpleHelp-software voor externe toegang die door MSP's wordt gebruikt.
Waarom NetScaler steeds weer een doelwit is
Dit is niet de eerste slechte week van NetScaler, en dat is het deel dat de moeite waard is om bij stil te staan. Aan internet blootgestelde toegangsgateways zijn waardevol omdat één niet-geauthenticeerde fout het apparaat dat de perimeter zou moeten bewaken, verandert in het bruggenhoofd erbinnen. De apparaten staan altijd aan, zijn altijd bereikbaar en worden door het interne netwerk vertrouwd door ontwerp — precies wat een spionageactor wil. Behandel elk randapparaat — van Citrix of van een concurrerende gateway — als een systeem dat uiteindelijk een pre-auth RCE zal hebben, en bouw je responsplan (snel patchen, blootstelling beperken en routinematig op inbraak jagen) op die aanname in plaats van te hopen dat de volgende zero-day jou overslaat.
Veelgestelde vragen
Worden CVE-2026-88771 en CVE-2026-88772 actief misbruikt?
Ja. Beide werden in het wild misbruikt voordat Citrix patches uitbracht, en de CISA voegde ze op 27 september 2026 toe aan haar catalogus van bekende misbruikte kwetsbaarheden. De Google Threat Intelligence Group en Mandiant herleidden het misbruik van CVE-2026-88772 tot begin september 2026.
Welke NetScaler-versies zijn veilig?
Upgrade naar NetScaler ADC en Gateway 14.1-73.37 of 13.1-64.23 (of de bijbehorende FIPS-build 14.1-73.37 FIPS / NDcPP 13.1-37.279) en later, volgens Citrix-bulletin CTX697096. Branches aan het einde van hun levensduur krijgen geen fix en moeten naar een ondersteunde versie worden gemigreerd.
Is patchen genoeg om veilig te zijn?
Nee. Mandiant adviseert om vóór het upgraden te controleren of een apparaat al is gecompromitteerd, omdat aanvallers web shells plaatsten en zich lateraal naar interne netwerken bewogen. Patch, jaag daarna op tekenen van inbraak en roteer inloggegevens en sessies.
Wie misbruikt deze Citrix-kwetsbaarheden?
Onderzoekers schrijven de activiteit toe aan vermoedelijk op een natiestaat afgestemde, goed uitgeruste actoren die op spionage zijn gericht. Tientallen organisaties in Noord-Amerika en Europa in overheid, financiën, onderwijs, telecom en professionele diensten zijn getroffen.
Bronnen
- Help Net Security — Citrix NetScaler RCE zero-days wekenlang misbruikt (CVE-2026-88771, CVE-2026-88772): soorten kwetsbaarheid, getroffen/gerepareerde versies, CISA KEV en federale deadline, toeschrijving.
- Cybersecurity Dive — Misbruik van Citrix NetScaler begon dagen vóór de openbare melding: tijdlijn van het misbruik, omvang, web shells en laterale beweging, advies om te controleren vóór het upgraden.
- BleepingComputer — Citrix-beheerders gewaarschuwd om NetScalers uit te schakelen vanwege 2 misbruikte zero-days: CVSS 9.5-scores, bulletin CTX697096, gerepareerde buildnummers, advies over het beperken van blootstelling.
Waqas Ahmed Waseer
Waqas Ahmed Waseer is ontwikkelaar en automation-builder met meer dan 8 jaar ervaring in het bouwen van productiesystemen die door 100.000+ mensen worden gebruikt. Hij bouwt custom multi-tenant SaaS, AI-automatisering (n8n, LLM-workflows, WhatsApp-bots) en hostinginfrastructuur (WHM/cPanel, CloudLinux) — en is de maker van WaSphere, FlowMaticX en het hostingmerk WaseerHost. 100+ projecten opgeleverd voor mkb, bureaus en gefinancierde startups.
