Citrix roept gebruikers van NetScaler ADC en NetScaler Gateway op om dringend twee kritieke beveiligingslekken te patchen. Het ene lek betreft een geheugenoverflow die kan leiden tot onvoorspelbaar gedrag of denial of service, het andere maakt het mogelijk om authenticatie te omzeilen.

Volgens een advisory van Citrix zijn ondersteunde versies van klantbeheerde NetScaler ADC en Gateway, inclusief bepaalde FIPS- en NDcPP-builds, evenals SecurAccess ZTNA Hybrid-implementaties die klantbeheerde NetScaler-instanties gebruiken, kwetsbaar. Diensten die door Citrix zelf worden beheerd, zoals cloudservices en Adaptive Authentication, zijn inmiddels bijgewerkt. De NetScaler-images in cloudmarktplaatsen zoals AWS, Azure en GCP zijn echter nog niet geüpdatet. Gebruikers die deze images willen bijwerken, moeten de nieuwste versies downloaden van de Citrix-downloadpagina.

Analisten en cybersecurityconsultants benadrukken het belang van snelle patching vanwege de gevoelige positie van gateways. Charlie Winckless, vice-president en analist bij Gartner, stelt dat de toename van perimeterbedreigingen momenteel het belangrijkste signaal is dat door aanvallers wordt gebruikt, waarbij internet-blootgestelde apparaten het meest kritisch zijn. Hij wijst erop dat nieuwe kwetsbaarheden in Citrix-producten in het verleden snel werden uitgebuit vanwege hun positie in de applicatieketen.

Van de twee lekken is vooral de authenticatie-omzeilingskwetsbaarheid CVE-2026-19490 volgens cybersecurityconsultant Brian Levine kritiek. Hij benadrukt dat NetScaler aan de netwerkgrens staat en dat een pre-authenticatie bypass op zo'n apparaat een zeer waardevol doelwit is. Organisaties wordt geadviseerd deze patch met spoed toe te passen, buiten de reguliere onderhoudscyclus om. Levine waarschuwt dat het niet bij patchen moet blijven; ook moeten credentials worden geroteerd, actieve sessies worden beëindigd en moet worden gezocht naar tekenen van eerdere toegang.

De kwetsbaarheid heeft een CVSS-score van 9.3, wat betekent dat een aanvaller zonder credentials en zonder gebruikersinteractie de login kan omzeilen op een apparaat dat juist dient als beveiligde toegangspoort. Fritz Jean-Louis, principal cybersecurity advisor bij Info-Tech Research Group, onderstreept dat ook kwetsbaarheden met een lagere classificatie niet onderschat mogen worden als ze een beveiligingsgateway treffen, omdat dit een belangrijke controle kan ondermijnen om ongeautoriseerde toegang te voorkomen.

Mike Wilkes, enterprise CISO bij Aikido Security, wijst erop dat snelle toepassing van de patches nu cruciaal is, omdat de bekendmaking aanvallers bewust maakt van de kwetsbaarheden. Dit leidt tot een race tussen verdedigers en aanvallers. Hoewel er nog geen publieke aanwijzingen zijn dat de lekken worden uitgebuit, kan dit snel veranderen doordat aanvallers de patchdetails kunnen analyseren om exploits te ontwikkelen. Een succesvolle exploit kan leiden tot ongeautoriseerde toegang tot achterliggende resources, misbruik van credentials of sessies, verkenning, laterale beweging en uiteindelijk datadiefstal of bredere compromittering.