NetScaler weer onder vuur: patchen is deze keer niet genoeg

4 oktober 2026 Kwetsbaarheden 5 min lezen

Als er één categorie apparaten is die de afgelopen jaren keer op keer in het nieuws komt, is het de edge: de firewalls, VPN-gateways en load balancers die aan de rand van je netwerk hangen. Citrix NetScaler staat daarbij bovenaan. Begin oktober 2026 is het weer raak, en deze keer met een reeks kwetsbaarheden waarvan er twee al werden misbruikt voordat er een patch was.

Wat er speelt

Citrix heeft updates uitgebracht voor acht kwetsbaarheden in NetScaler ADC en NetScaler Gateway, met kenmerken CVE-2026-88771 tot en met CVE-2026-88778. Drie daarvan zijn als kritiek aangemerkt. Het NCSC schaalt het geheel in als hoog risico, hoge schade.

De twee die er het meest uitspringen:

CVE-2026-88771 (CVSS 9.5): een fout in de invoervalidatie die een aanvaller zónder inloggegevens kan misbruiken. Dit raakt in principe elke NetScaler.
CVE-2026-88772 (CVSS 9.5): een geheugenoverschrijding die speelt op systemen met DTLS, wat op VPN-opstellingen de standaardinstelling is.

Van deze twee heeft Citrix bevestigd dat er misbruik is waargenomen. De overige zes lopen uiteen van HTTP request smuggling en policy bypass tot nog een paar geheugenoverschrijvingen. Meerdere ervan hebben de potentie tot uitvoeren van code op afstand of een denial-of-service.

Getroffen zijn NetScaler ADC en Gateway 14.1 vóór 14.1-73.37 en 13.1 vóór 13.1-64.23, plus de bijbehorende FIPS-varianten. Oudere versies die al end-of-life zijn, krijgen geen fix meer; die moet je sowieso vervangen.

Waarom juist deze apparaten

Een NetScaler is een aantrekkelijk doelwit, en dat is geen toeval. Hij staat per definitie aan het internet, want hij regelt de toegang van buitenaf. Hij verwerkt verkeer vóórdat iemand is ingelogd, dus een pre-authenticatie-kwetsbaarheid is direct bruikbaar. En hij zit hoog in de keten: wie de gateway overneemt, zit meteen op een centraal punt waar sessies, inloggegevens en interne routes samenkomen.

Daar komt bij dat dit soort apparaten een dichtgetimmerde appliance is. Je kunt er geen EDR-agent op zetten en je ziet van buitenaf weinig van wat er binnenin gebeurt. Dat maakt ze voor een aanvaller aantrekkelijk en voor een verdediger lastig.

Waarom patchen deze keer niet genoeg is

Het belangrijkste punt van dit verhaal: het misbruik vond plaats vóórdat de patch bestond. Dat maakt het een zero-day. En dat heeft een vervelend gevolg.

Een patch dicht het gat, maar verwijdert geen aanvaller die er al door naar binnen is gekomen. Als jouw NetScaler in de kwetsbare periode aan het internet hing, moet je er rekening mee houden dat iemand al binnen kan zijn geweest. Updaten en dan overgaan tot de orde van de dag is precies de fout die bij eerdere NetScaler-incidenten tot langdurige inbraken leidde.

Behandel een mogelijk getroffen apparaat daarom volgens het assume-breach-principe:

Bewaar eerst bewijs. Maak een geheugendump en bewaar minimaal een maand aan logs voordat je gaat patchen of herstarten. Na een reboot ben je vluchtige sporen kwijt, en dat is precies wat je bij onderzoek nodig hebt.
Patch met spoed naar 14.1-73.37 of 13.1-64.23, of nieuwer.
Ga ervan uit dat sessies en geheimen gelekt kunnen zijn. Beëindig actieve sessies, en roteer wachtwoorden, API-sleutels en certificaten die op of achter de NetScaler in gebruik zijn.
Jaag op sporen van misbruik. Controleer op onbekende configuratiewijzigingen, nieuwe accounts, verdachte uitgaande verbindingen en de indicatoren die Citrix en het NCSC publiceren.
Bij twijfel: vervangen. Is er aanwijzing voor een diepe compromittering, dan is opnieuw opzetten vanaf een schone basis betrouwbaarder dan opschonen.

Het patroon

Dit is niet de eerste keer, en het zal niet de laatste zijn. In 2023 was er CitrixBleed (CVE-2023-4966), waarmee aanvallers sessietokens uit het geheugen lazen en MFA omzeilden. In 2025 volgde CitrixBleed 2 (CVE-2025-5777), in essentie dezelfde soort fout opnieuw. En nu, in 2026, weer een reeks.

De les zit niet in de afzonderlijke CVE’s, maar in het patroon. Edge-apparaten zijn de kroonjuwelen van je aanvalsoppervlak, en ze verdienen bijbehorende aandacht:

Beperk de blootstelling. Zet beheerinterfaces nooit aan het internet. Overweeg of de dienst echt voor de hele wereld bereikbaar moet zijn, of dat het achter een extra laag kan.
Patch snel en aantoonbaar. Spreek voor dit soort systemen een strakke patch-SLA af, bijvoorbeeld binnen een paar dagen bij een kritieke, actief misbruikte kwetsbaarheid. Leg vast dat je het haalt.
Monitor wat je kunt. Je krijgt geen EDR op de appliance, maar je ziet wel het verkeer eromheen. Logging naar een centrale plek, en alarmen op afwijkend gedrag, maken het verschil tussen weken en minuten.
Weet wat je hebt. Een actueel overzicht van je internet-facing systemen is de basis. Je kunt niet patchen wat je niet weet te staan.

Voor organisaties die onder de Cyberbeveiligingswet vallen, raakt dit bovendien direct aan de zorgplicht en de meldplicht. Een actief misbruikte kwetsbaarheid op een internet-facing systeem is precies het soort situatie waarvoor je je meldproces geoefend wilt hebben.

Kort samengevat

Hang je een NetScaler aan het internet, controleer dan nu of je op 14.1-73.37 of 13.1-64.23 zit. Zo niet, patch met spoed, maar bewaar eerst je bewijs en ga ervan uit dat je mogelijk al bezoek hebt gehad. En gebruik dit moment om je edge-apparaten de aandacht te geven die ze verdienen, want de volgende keer is een kwestie van wanneer, niet of.