Citrix heeft een kwetsbaarheid verholpen in NetScaler ADC en NetScaler Gateway die optreedt wanneer een apparaat is geconfigureerd als SAML Service Provider (SP) of Identity Provider (IdP). Het Nederlandse NCSC bracht er advisory NCSC-2026-0410 over uit, Citrix zelf publiceerde advies CTX697191. De fout, geregistreerd als CVE-2026-107406, is een geheugenoverflow die optreedt tijdens de verwerking van SAML-verzoeken en kan leiden tot het op afstand uitvoeren van code of het laten crashen van het apparaat.
Citrix heeft de fix opgenomen in NetScaler ADC en Gateway 14.1-73.46 en 13.1-64.29, en in de FIPS-varianten 14.1-73.46 FIPS en 13.1.37.283 (13.1-FIPS en 13.1-NDcPP). Een CVSS-score heeft het bedrijf niet gepubliceerd. Volgens Citrix is er op het moment van publicatie geen bewijs dat de kwetsbaarheid al wordt misbruikt: “Citrix is not aware of any unmitigated exploits of this vulnerability.” Beveiligingsplatform Shadowserver telt desondanks ruim 21.000 internetgerichte NetScaler-apparaten, waaronder ongeveer 20.000 ADC-instanties en meer dan 1.500 Gateway-instanties. Onbekend is hoeveel daarvan daadwerkelijk zijn geconfigureerd als SAML SP of IdP, of al gepatcht zijn.
Opnieuw een NetScaler-lek
Het is al de derde NetScaler-kwetsbaarheid in iets meer dan een week tijd. Eind september verhielp Citrix twee actief misbruikte pre-auth RCE-zero-days, CVE-2026-88771 en CVE-2026-88772, waarmee aanvallers webshells konden plaatsen, inloggegevens konden stelen en zich binnen netwerken konden verspreiden. Begin oktober volgde een noodpatch voor de DoS-zero-day CVE-2026-88779, eveneens gekoppeld aan SAML-functionaliteit, die onderzoekers nadien ook geschikt bleek te maken voor remote code execution. CVE-2026-107406 is een losstaande, nieuwe fout in diezelfde productlijn, geen herhaling van een van die eerdere problemen.
Het patroon is dit jaar vaker gezien. Al in maart drong Citrix aan op updates voor CVE-2026-3055 en CVE-2026-4368, waarna aanvallers die kwetsbaarheden binnen enkele dagen na bekendmaking al actief misbruikten. Sinds november 2021 heeft de Amerikaanse cyberwaakhond CISA 27 actief misbruikte Citrix-kwetsbaarheden gemarkeerd, waarvan zeven in ransomware-aanvallen.
Citrix roept beheerders op om getroffen NetScaler-instanties zo snel mogelijk te upgraden naar de aanbevolen versies.
Voor Nederlandse organisaties met NetScaler ADC of Gateway in gebruik is de eerste stap controleren of SAML-authenticatie als SP of IdP actief staat. Is dat het geval, installeer dan de update, ook als er nu nog geen misbruik is vastgesteld. De reeks eerdere NetScaler-kwetsbaarheden liet steeds zien dat aanvallers snel reverse-engineeren zodra een patch uitkomt, soms binnen enkele dagen. Wachten tot er concrete aanvallen worden gemeld is bij dit product inmiddels een slechte gok.
Bron: NCSC-NL, BleepingComputer
Wat betekent dit voor jouw bedrijf?
Controleer of uw NetScaler ADC of Gateway is geconfigureerd als SAML Service Provider of Identity Provider, en installeer in dat geval de update naar 14.1-73.46 of 13.1-64.29. Er is op dit moment geen misbruik bekend, maar gezien de herhaalde geschiedenis van snel misbruikte NetScaler-kwetsbaarheden is wachten geen verstandige keuze.
Zelfde kwetsbaarheid
Nieuwe NetScaler zero-day CVE-2026-88779 actief misbruikt, kan SAML-omgevingen platleggen
DreigingenKwetsbaarheid verholpen in Citrix NetScaler ADC en NetScaler Gateway
AnalyseKiteworks en Citrix laten zien hoe lastig goede zero-day-respons is
DreigingenAanvallers misbruiken NetScaler-lek voor root-toegang, zetten webshells WHIPSHOT en SLAPSHOT in
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.