Draait jouw bedrijf of IT-partner een Citrix NetScaler als VPN of loadbalancer? Dan moet je vandaag patchen. Citrix bevestigde op 27 september 2026 twee kritieke lekken waarmee aanvallers op afstand code kunnen uitvoeren. Beide worden al misbruikt, en er is geen workaround. Dit is wat er speelt en wat je nu doet.

In het kort

CVE-2026-88771 en CVE-2026-88772 scoren elk 9.5 (CVSS 4.0) en geven code-uitvoering op afstand op NetScaler ADC en Gateway. Het eerste lek werkt zonder login en zonder extra functie; het tweede raakt DTLS, dat standaard aanstaat op VPN-servers (bron: BleepingComputer, Hacker News).
Aanvallen begonnen vóór Citrix het wist. GreyNoise zag pogingen op 24 september, CISA nam beide lekken op 27 september op in de KEV-catalogus (bron: Hacker News, CISA).
Update naar 14.1-73.37 of 13.1-64.23 (of nieuwer). Versies 12.1 en 13.0 zijn end-of-life en krijgen geen fix. Er is geen workaround (bron: Citrix, BleepingComputer).

Wat is er precies aan de hand?

Citrix, ondertussen onderdeel van Cloud Software Group, meldt twee kwetsbaarheden in NetScaler ADC en NetScaler Gateway. NetScaler is het toestel dat bij veel bedrijven het VPN-inlogpunt of de loadbalancer speelt. Het staat dus per definitie open naar het internet.

CVE-2026-88771 komt door slechte controle van invoer. Een aanvaller hoeft niet in te loggen. Ook standaardconfiguraties zijn kwetsbaar. CVE-2026-88772 is een geheugenfout in de DTLS-verwerking. Citrix zegt dat DTLS standaard aanstaat op VPN-virtual servers. Beide fouten kunnen leiden tot code-uitvoering op afstand.

Citrix bevestigt zelf dat “exploits op niet-gemitigeerde NetScaler-deployments zijn waargenomen”. CISA meldt dat aanvallers de lekken wereldwijd misbruiken.

Ninja tip

Een VPN-toestel is de voordeur van je netwerk. Wie daar binnenraakt, zit meteen achter je firewall. Daarom is een NetScaler-lek nooit “een dingetje voor later”.

Al misbruikt voor de patch bestond

De tijdlijn is slecht nieuws. GreyNoise zag aanvalspogingen op CVE-2026-88771 al op 24 september, drie dagen voor de bekendmaking. WatchTowr waarschuwde op 26 september publiek en sprak over bevestigde inbraken bij meerdere organisaties in de week van 22 september.

Volgens Shadowserver zijn meer dan 23.000 NetScaler-IP-adressen zichtbaar op het internet. Minstens één leverancier vroeg een klant om de toestellen tijdelijk uit te schakelen.

CISA zette beide lekken op 27 september in de KEV-lijst. Amerikaanse federale diensten moeten tegen 30 september patchen, dus binnen drie dagen. CISA vraagt ook om eerst te zoeken naar sporen van inbraak en bewijs te bewaren als je een aanval vermoedt.

Welke versies zijn kwetsbaar?

Product en tak	Kwetsbaar tot	Gepatchte versie
NetScaler ADC en Gateway 14.1	vóór 14.1-73.37	14.1-73.37 of later
NetScaler ADC en Gateway 13.1	vóór 13.1-64.23	13.1-64.23 of later
NetScaler ADC FIPS 14.1	vóór 14.1-73.37 FIPS	14.1-73.37 FIPS of later
NetScaler ADC FIPS en NDcPP 13.1	vóór 13.1-37.279	13.1-37.279 of later
Versie 12.1 en 13.0	end-of-life	Geen fix, vervangen

Bron: Citrix-bulletin CTX697096, zoals samengevat door BleepingComputer, Hacker News en Security Affairs.

Draai je 12.1 of 13.0? Dan krijg je geen patch meer. Plan een migratie naar een ondersteunde tak, en zet het toestel zolang zo min mogelijk bloot.

Wat betekent dit voor jou als KMO in de Kempen?

Veel KMO’s hebben geen eigen NetScaler, maar hun IT-partner of hoster wel. Zeker voor externe toegang tot de werkplek of ERP is het een gebruikelijk toestel. Je weet dus niet altijd dat je het gebruikt.

Concreet:

Vraag je IT-partner vandaag of jullie een NetScaler gebruiken, en of de patch er al op staat.
Beheer je er zelf één? Zoek eerst naar sporen van inbraak (Citrix publiceerde indicatoren via NetScaler Console) en patch daarna meteen.
Draai je 12.1 of 13.0? Vervang het toestel. Een fix komt er niet.
Denk aan wachtwoorden en sessies. Bij een vermoeden van inbraak reset je VPN-accounts en beëindig je actieve sessies.

Veelgestelde vragen

Vraag: Is er een workaround als ik nu niet kan patchen? Nee. Volgens de bronnen bestaat er geen workaround. Enkel updaten sluit het lek. Kan dat echt niet vandaag, overleg dan met je partner over het tijdelijk afsluiten van de toegang.

Vraag: Moet ik als Belgische KMO de CISA-deadline halen? Die deadline geldt wettelijk enkel voor Amerikaanse federale diensten. Het signaal telt wel: een KEV-vermelding betekent bewezen misbruik.

Vraag: Is patchen genoeg als ik al aangevallen ben? Nee. Omdat het misbruik vóór de patch begon, kan een aanvaller al binnen zijn. Controleer eerst op sporen en bewaar logs.

Onze mening

Een VPN-toestel met een lek dat zonder wachtwoord code laat uitvoeren, is het slechtste scenario voor een KMO. Dat de aanvallen begonnen voor de patch bestond, maakt het erger: hier wint snelheid, niet planning.

Wat ons opvalt: internetgerichte toestellen zoals NetScaler, Cisco en Ubiquiti halen deze maand om de paar dagen het nieuws. Wacht voor dat soort apparatuur niet op een maandelijks patchmoment. Zodra een fabrikant “misbruikt” zegt, is patchen dezelfde dag de norm.

Wat betekent dit voor jou?

Draai je NetScaler ADC of Gateway? Patch vandaag naar 14.1-73.37 of 13.1-64.23 of nieuwer.
Controleer eerst op sporen van inbraak, en bewaar logs bij een vermoeden.
Versie 12.1 of 13.0? Vervangen, want er komt geen fix.
Weet je niet of jouw partner een NetScaler gebruikt? Vraag het vandaag nog.

Wil je zeker zijn dat kritieke toestellen bij jou meteen gepatcht worden, niet pas bij de volgende onderhoudsronde? Neem contact op met CyberNinja en we bekijken samen hoe je patchmanagement structureel aanpakt.

Bronnen

Citrix confirms two NetScaler RCE zero-days exploited in attacks - BleepingComputer
CISA Says Attackers Are Exploiting Two Critical Citrix NetScaler Flaws Globally - The Hacker News
CISA orders feds to patch exploited Citrix flaws by Wednesday - BleepingComputer
Citrix Confirmed Two New NetScaler Flaws Exploited as Zero-Day - Security Affairs
Citrix NetScaler Zero-Day RCE FAQ: CVE-2026-88771 and CVE-2026-88772 - watchTowr
Citrix NetScaler ADC and Gateway Security Bulletin (CTX697096) - Citrix

Beeldverantwoording

hero.webp - CyberNinja.be, eigen werk