Aanvallers maken misbruik van een kritieke kwetsbaarheid in Citrix NetScaler, bekend als CVE-2026-19490, die het mogelijk maakt om authenticatie op afstand te omzeilen. Deze kwetsbaarheid treedt op wanneer de NetScaler-apparatuur is geconfigureerd als een AAA virtual server of als Gateway (zoals SSL VPN, ICA Proxy, CVPN, RDP Proxy), afhankelijk van de firmwareversie en of SAML Action is ingesteld.

Citrix heeft gebruikers al in augustus opgeroepen om de officiële beveiligingsbulletins te raadplegen, hun implementaties te controleren en getroffen apparaten zo snel mogelijk te updaten naar de aanbevolen versies. Hoewel Citrix in hun beveiligingsadvies van 19 augustus nog niet meldde dat de kwetsbaarheid actief werd misbruikt, gaf Ryan Dewhurst, oprichter van Previdian, aan dat er sinds 3 september exploitatiepogingen zijn waargenomen. Deze pogingen kwamen vanuit drie verschillende IP-adressen uit Australië, de Verenigde Staten en Duitsland, wat volgens Dewhurst bewijs is voor daadwerkelijke exploitatiepogingen, al is nog niet bevestigd of systemen daadwerkelijk zijn gecompromitteerd. Meer details over de observaties zijn te vinden bij Previdian.

Ook het Belgische Nationaal Cybersecurity Coördinatiecentrum (NCC-BE) heeft op vrijdag gewaarschuwd voor exploitatiepogingen en adviseert om kwetsbare Citrix NetScaler-apparaten met prioriteit te patchen. Hoewel er meer dan 22.000 NetScaler ADC en bijna 1.700 Gateway-instanties online staan, is onduidelijk hoeveel daarvan kwetsbaar zijn of al gepatcht.

Citrix waarschuwde eerder dit jaar ook voor andere kwetsbaarheden, zoals CVE-2026-3055 en CVE-2026-4368, die kort na de release van patches werden misbruikt. De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) voegde CVE-2026-3055 kort daarna toe aan hun lijst van actief misbruikte kwetsbaarheden en stelde een patchtermijn van drie dagen voor federale instanties in. Sinds november 2021 heeft CISA 23 Citrix-kwetsbaarheden als actief misbruikt geregistreerd, waarvan zes ook door ransomwaregroepen zijn gebruikt.