Kritieke patchronde nodig voor Citrix NetScaler

Een van de meest urgente kwetsbaarheden in de reeks is CVE-2026-120868, met een ernstscore van 9,3. Dit geheugenlek in de pakketverwerking treft namelijk elke NetScaler ADC- en Gateway-installatie in de standaardconfiguratie, zonder dat daarvoor specifieke extra functies ingeschakeld hoeven te zijn. Daarnaast springt CVE-2026-107412 eruit met de hoogste score van 9,5. Deze kwetsbaarheid raakt appliances die zijn ingericht als Gateway (zoals SSL VPN, ICA Proxy of RDP Proxy) of als authenticatieserver. 

Ook tal van andere veelgebruikte onderdelen bevatten kritieke geheugenfouten, waaronder de afhandeling van DNS en DNS-over-HTTPS, SAML- en LDAP-authenticatie, Endpoint Analysis, HTTP/2, HTTP/3 (QUIC) en de Application Firewall. Daarnaast is er een lek gevonden waarbij gevoelige authenticatiegegevens in het lokale logbestand httperror.log terecht kunnen komen.

De kwetsbaarheden zijn van toepassing op versies van Citrix NetScaler ADC en Gateway 14.1 vóór build 14.1-73.57 en versie 13.1 vóór build 13.1-64.39. Ook de FIPS- en NDcPP-gecertificeerde varianten van deze versies zijn kwetsbaar, evenals NetScaler-instanties die worden ingezet binnen hybride omgevingen van Secure Private Access. Door Citrix zelf beheerde clouddiensten en Citrix-managed Adaptive Authentication worden door Cloud Software Group automatisch voorzien van de noodzakelijke updates.

Volgens de leverancier is een groot deel van de kwetsbaarheden ontdekt dankzij meldingen van externe beveiligingsonderzoekers van onder meer JPMorgan Chase, CapitalOne en watchTowr, terwijl het eigen productbeveiligingsteam diverse andere fouten opspoorde met behulp van geavanceerde AI-gestuurde code-analyse. IT-beheerders worden geadviseerd hun configuratiebestanden te controleren aan de hand van de gepubliceerde richtlijnen en direct te upgraden naar de herstelde releases om uitval en misbruik te voorkomen.