Kerngegevens
- Leverancier
- Citrix
- Soort software
- VPN
- Getroffen versies
- NetScaler ADC vanaf 13.1 tot 13.1-37.277, vanaf 13.1 tot 13.1-63.21, vanaf 14.1 tot 14.1-73.32, vanaf 14.1-66.68 t/m 14.1-73.32
- NetScaler Gateway vanaf 13.1 tot 13.1-63.21, vanaf 14.1 tot 14.1-73.32
- Oplossing
- Update beschikbaar
- Opgeloste versie
- NetScaler ADC 13.1-37.277
- NetScaler ADC 13.1-63.21
- NetScaler Gateway 13.1-63.21
- NetScaler Gateway 14.1-73.32
- CVE gepubliceerd
- 19 augustus 2026
- Op de KEV-lijst sinds
- 9 september 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Citrix NetScaler ADC en NetScaler Gateway zit een lek waarmee de inlogcontrole omzeild kan worden via een alternatief pad of kanaal. De aanvaller hoeft daarvoor niet in te loggen en jij hoeft niets te doen of aan te klikken. Het lek heeft ernst kritiek (9,3) en wordt al actief misbruikt.
Wie loopt risico?
Je loopt risico als je NetScaler ADC of NetScaler Gateway gebruikt in een van de getroffen versies uit de reeksen 13.1 en 14.1. Omdat de aanval via het netwerk verloopt en geen inlog vereist, zijn systemen die bereikbaar zijn vanaf internet het meest kwetsbaar. De Amerikaanse overheidsdienst CISA nam het lek op 9 september 2026 op in de lijst van actief misbruikte lekken.
Wat moet je doen?
Ga na of je NetScaler gebruikt
Controleer of je NetScaler ADC of NetScaler Gateway draait en welke versie dat is. Kijk ook naar systemen die buiten het zicht van de gewone IT-beheerders vallen.
Werk bij naar een opgeloste versie
Citrix noemt als opgeloste versies 13.1-37.277, 13.1-63.21 en 14.1-73.32 voor ADC, en 13.1-63.21 en 14.1-73.32 voor Gateway. Controleer in het advies van Citrix (CTX696939) welke versie bij jouw uitvoering hoort.
Lees het advies van de leverancier
Volg de maatregelen in het advies van Citrix, ook als je niet direct kunt bijwerken. Daar vind je de actuele informatie over getroffen en opgeloste versies.
Beperk de blootstelling
Kun je niet meteen bijwerken, beperk dan de toegang tot het beheer- en inlogdeel van het systeem vanaf internet, bijvoorbeeld met firewallregels.
Zoek naar sporen van misbruik
Het lek wordt al misbruikt. Bekijk daarom de logboeken op verdachte aanmeldingen of onverwachte wijzigingen, en schakel zo nodig je beveiligingsteam in.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft CWE-288: authenticatie omzeilen via een alternatief pad of kanaal in NetScaler ADC en NetScaler Gateway. Volgens de CVSS 4.0-vector (9,3) is de aanval op afstand uit te voeren via het netwerk, met lage complexiteit, zonder voorafgaande rechten en zonder gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid van het systeem zelf is hoog. Getroffen zijn de reeksen 13.1 en 14.1, tot en met de opgeloste versies 13.1-63.21 en 14.1-73.32 zoals in de gegevens vermeld. Welk pad precies te misbruiken is, staat niet in de beschikbare gegevens. Er is geen publiek exploit vermeld, maar het lek staat wel in de CISA KEV-lijst en de EPSS-score is 0,232.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-288 · Authenticatie omzeilen via een alternatief pad of kanaal
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 32,7%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 9 september 2026
- Deadline van CISA
- 12 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend