Citrix NetScaler ADC og NetScaler Gateway er rammet av flere kritiske sikkerhetssårbarheter som nå utnyttes aktivt i angrep. Citrix bekreftet 27. september at to av sårbarhetene kan brukes til fjernkjøring av vilkårlig kode uten autentisering. Begge har en CVSS v4.0-score på 9,5.
Saken gjelder kundeadministrerte NetScaler-installasjoner, som ofte brukes som VPN-gateway, lastbalanserer og inngangspunkt til interne bedriftsnettverk. For virksomheter som eksponerer NetScaler mot internett, er dette derfor en sikkerhetshendelse som bør behandles umiddelbart.
Citrix NetScaler-sårbarheter utnyttes aktivt
Citrix’ sikkerhetsbulletin CTX697096 beskriver åtte sårbarheter i NetScaler ADC og NetScaler Gateway. De to mest alvorlige er CVE-2026-88771 og CVE-2026-88772.
- CVE-2026-88771: En feil i valideringen av input kan gjøre det mulig for en ikke-autentisert angriper å kjøre vilkårlige kommandoer. Citrix oppgir at alle NetScaler ADC- og Gateway-installasjoner er berørt, også standardkonfigurasjoner.
- CVE-2026-88772: En minnefeil kan føre til fjernkjøring av kode eller tjenestenekt. Sårbarheten krever at DTLS er aktivert, noe som som standard er tilfelle på VPN virtual servers i NetScaler Gateway dersom DTLS ikke er eksplisitt deaktivert.
Citrix opplyser uttrykkelig at utnyttelse av begge sårbarhetene er observert i aktive angrep. CERT-EU anbefaler derfor at berørte systemer oppdateres og at virksomheter gjennomfører en vurdering av mulig kompromittering dersom NetScaler-installasjoner har vært eksponert mot internett.
Åtte sikkerhetsfeil i samme bulletin
Det er ikke bare de to aktivt utnyttede feilene som er omfattet. Citrix beskriver totalt åtte sårbarheter:
| CVE | Problem | CVSS v4.0 |
|---|---|---|
| CVE-2026-88771 | Remote Code Execution via feil inputvalidering | 9,5 |
| CVE-2026-88772 | Minnefeil – RCE eller tjenestenekt | 9,5 |
| CVE-2026-88773 | HTTP Request Smuggling | 9,3 |
| CVE-2026-88774 | Omgåelse av feature policy | 7,0 |
| CVE-2026-88775 | Minnefeil – tjenestenekt/feilaktig oppførsel | 8,8 |
| CVE-2026-88776 | Minnefeil – tjenestenekt/feilaktig oppførsel | 8,8 |
| CVE-2026-88777 | Minnefeil – tjenestenekt/feilaktig oppførsel | 8,8 |
| CVE-2026-88778 | TCP Initial Sequence Number prediction | 8,8 |
Berørte Citrix NetScaler-versjoner og sikkerhetsoppdateringer
Citrix oppgir at følgende versjoner er berørt dersom de er eldre enn de angitte fiksene:
- NetScaler ADC/Gateway 14.1: før 14.1-73.37
- NetScaler ADC/Gateway 13.1: før 13.1-64.23
- 14.1-FIPS: før 14.1-73.37 FIPS
- 13.1-FIPS og 13.1-NDcPP: før 13.1-37.279
Citrix anbefaler at berørte kunder installerer de oppdaterte versjonene så snart som mulig. Cloud Software Group opplyser samtidig at deres administrerte skytjenester oppdateres av leverandøren, mens kundeadministrerte NetScaler-installasjoner må håndteres av kunden selv.
Slik håndterer du Citrix NetScaler-sårbarhetene
Har du ansvar for en NetScaler ADC eller NetScaler Gateway, bør du ikke vente på at situasjonen skal roe seg. Citrix har allerede bekreftet aktiv utnyttelse.
- Identifiser alle kundeadministrerte NetScaler-installasjoner som er eksponert mot internett.
- Kontroller versjonen mot Citrix’ sikkerhetsbulletin.
- Oppgrader til en fast versjon så snart det lar seg gjøre.
- Vurder mulig kompromittering av systemer som har vært sårbare og tilgjengelige fra internett.
- Se etter uvanlig aktivitet i logger, administratorkontoer, prosesser og nettverkstrafikk.
- Følg Citrix’ IOC- og deteksjonsinformasjon dersom systemet har vært eksponert mens det var sårbart.
Den canadiske Cyber Centre og CERT-EU har også publisert varsler om sårbarhetene og aktiv utnyttelse. Dette er dermed ikke bare en teoretisk risiko eller en sårbarhet som kan vente til neste ordinære vedlikeholdsvindu.
Hvorfor NetScaler er et spesielt interessant mål
NetScaler står ofte helt i utkanten av virksomhetens nettverk. Enheten kan håndtere VPN-tilkoblinger, applikasjonstrafikk, autentisering og lastbalansering. En kompromittert edge-enhet kan derfor gi en angriper et svært interessant utgangspunkt for videre aktivitet i infrastrukturen.
Det er også grunnen til at virksomheter bør behandle en kompromitteringsvurdering som en separat oppgave fra selve oppdateringen. Å installere en sikkerhetsoppdatering fjerner sårbarheten fremover, men forteller ikke nødvendigvis om en angriper allerede har vært inne.
Networld har tidligere skrevet om hvordan aktivt utnyttede sårbarheter kan ramme WordPress og andre internetteksponerte systemer. Vi har blant annet omtalt en aktivt utnyttet WordPress-sårbarhet og en kritisk Elementor-sårbarhet. Samme grunnregel gjelder her: Når en sårbarhet allerede utnyttes aktivt, bør oppdatering og kontroll av kompromittering prioriteres foran vanlig vedlikeholdsplanlegging.
Kort oppsummert
Citrix NetScaler ADC og NetScaler Gateway har to kritiske, aktivt utnyttede RCE-sårbarheter. CVE-2026-88771 rammer alle berørte distribusjoner uten krav om en spesifikk ekstra funksjon, mens CVE-2026-88772 blant annet er relevant for VPN-konfigurasjoner med DTLS aktivert. Citrix har publisert sikkerhetsoppdateringer, og administratorer bør oppgradere så raskt som mulig.
Vanlige spørsmål om Citrix NetScaler-sårbarhetene
Hvilke Citrix NetScaler-sårbarheter utnyttes aktivt?
Citrix har bekreftet aktiv utnyttelse av CVE-2026-88771 og CVE-2026-88772. Begge har CVSS v4.0-score 9,5, og berørte kundeadministrerte installasjoner bør oppdateres til en fikset versjon.
Hvilke versjoner bør oppdateres?
Citrix oppgir blant annet 14.1-73.37 eller nyere og 13.1-64.23 eller nyere for de aktuelle standardgrenene. FIPS- og NDcPP-utgaver har egne versjonskrav; kontroller alltid den offisielle sikkerhetsbulletinen for riktig utgave.
Er det nok å installere sikkerhetsoppdateringen?
Ikke nødvendigvis. Hvis en NetScaler-enhet var sårbar og eksponert mot internett, bør administratorer også vurdere mulig kompromittering, undersøke logger og følge leverandørens råd om indikatorer på kompromittering.
