Citrix publiceert beveiligingsupdates voor 28 geheugenfouten in NetScaler ADC en Gateway, waaronder een kwetsbaarheid die alle implementaties treft.
Op 12 november 2026 heeft Cloud Software Group beveiligingsbulletins uitgebracht voor Citrix NetScaler ADC en NetScaler Gateway. Deze updates adresseren 28 geheugenkwetsbaarheden, waarvan één, CVE-2026-120868, elke implementatie treft, ook met de standaardconfiguratie. De impact van deze kwetsbaarheid wordt omschreven als onvoorspelbaar gedrag en denial of service.
Volgens Citrix zijn er geen meldingen van actieve exploitatie en is er geen publiek beschikbare proof-of-concept bevestigd. CERT-EU adviseert dringend om alle klantbeheerde NetScaler ADC en Gateway-apparaten te upgraden naar de gepatchte versies, met prioriteit voor internetgerichte Gateway- en AAA-apparaten.
De kwetsbaarheid CVE-2026-120868 heeft een CVSS-score van 9,3 en betreft een geheugenoverflow in de kern van de pakketverwerking, zonder dat authenticatie of speciale functies vereist zijn. Daarnaast is er CVE-2026-107412 met een CVSS-score van 9,5, die meerdere geheugenoverflows omvat en apparaten treft die als Gateway of AAA-virtual server zijn geconfigureerd. Ook deze kwetsbaarheden zijn zonder authenticatie te bereiken.
Andere kwetsbaarheden zijn afhankelijk van specifieke functies zoals SAML, WebAuth, LDAP, Email OTP en client-certificaatauthenticatie, en betreffen onder meer DNS-over-HTTPS, HTTP/2, HTTP/3 (QUIC), SMPP, RTSP, BGP-routing en de Application Firewall. Tien van deze fouten hebben een hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid, maar worden door de leverancier omschreven als veroorzakers van onvoorspelbaar gedrag of denial of service.
De getroffen versies zijn onder meer Citrix NetScaler ADC 14.1 vóór 14.1-73.57, 13.1 vóór 13.1-64.39, NetScaler ADC FIPS vóór 14.1-73.58 FIPS en NetScaler ADC FIPS en NDcPP vóór 13.1-37.293. Het is van belang dat organisaties deze updates zo snel mogelijk doorvoeren om de beveiliging van hun NetScaler-omgevingen te waarborgen.
