Twee kritieke NetScaler-zero-days werden al weken misbruikt voordat Citrix op 27 september patchte; de techniek, de aanvalsketen en het patroon van bijna jaarlijkse NetScaler-incidenten tonen waarom dit meer is dan "weer een VPN-bug".
Listen to the episode →Op 27 september meldde Citrix acht nieuwe kwetsbaarheden in NetScaler ADC en NetScaler Gateway, de apparaten die bij duizenden organisaties aan de netwerkrand VPN-toegang, loadbalancing en authenticatie verzorgen. Twee ervan waren op het moment van bekendmaking al actief misbruikt als zero-day, een ervan zonder dat een aanvaller ook maar één niet-standaardinstelling nodig had. Het is de zoveelste keer in drie jaar dat NetScaler-apparaten het doelwit zijn van wereldwijde exploitatie nog voordat een patch bestond, en de details die onderzoekers inmiddels hebben vrijgegeven, laten zien hoe ver aanvallers gingen om voet aan de grond te houden.
De tijdlijn loopt verder terug dan de officiële bekendmaking. Beveiligingsbedrijf Rapid7 registreerde de eerste exploitatiepoging al op 20 september om 14u28 UTC: twee geïsoleerde pogingen, niet grootschalig, maar wel een werkend commando-injectiepayload. Mandiant en Google Threat Intelligence Group (GTIG) stellen dat misbruik van een van de twee kritieke fouten al sinds begin september liep. Op 24 september trof Rapid7 een webshell aan op een gecompromitteerd apparaat. Rond die periode kregen NetScaler-beheerders via leveranciers en securityteams het advies hun apparaten uit te schakelen, naar aanleiding van een vertrouwelijke tip van het Nederlandse NCSC-NL. Op 26 september waarschuwde onderzoeksbureau watchTowr publiek dat ongepatchte NetScaler-RCE's actief werden misbruikt, nog voordat er CVE-nummers bestonden. Pas op 27 september volgde Citrix met bulletin CTX697096, met patches voor alle acht fouten. Het Amerikaanse CISA voegde diezelfde dag de twee actief misbruikte kwetsbaarheden toe aan zijn Known Exploited Vulnerabilities-catalogus, en breidde die waarschuwing op 2 oktober nog uit met een SIGMA-detectieregel.
De twee kritieke fouten zijn CVE-2026-88771 en CVE-2026-88772, beide met een CVSS-score van 9,5. Het verontrustende aan CVE-2026-88771: die treft elk NetScaler-apparaat in de standaardconfiguratie, zonder dat er een extra functie aan moet staan. Rapid7 ving het exacte payload op: een commando-injectie verstopt in een mislukte-aanmeldpoging, die een gzip-archief maakte van de volledige configuratiemap `/flash/nsconfig` en dat archief wegschreef naar een map die het apparaat zelf publiek, zonder login, serveert. Wie het pad kende, kon dat archief zonder enige authenticatie downloaden. Daarin zitten onder meer het volledige apparaatconfiguratiebestand met versleutelde wachtwoorden van beheeraccounts, bind-wachtwoorden voor LDAP, RADIUS en TACACS, SSL-certificaten en private keys, en SSH-hostkeys. Rapid7 bevestigt intussen minstens twee gecompromitteerde organisaties via dit pad.
CVE-2026-88772 is subtieler en vereist dat DTLS actief staat — wat bij een VPN-vserver standaard het geval is, ook als niemand dat bewust heeft ingeschakeld. Volgens de analyse van Mandiant en GTIG verwerkt de NetScaler Packet Processing Engine (NSPPE) tijdens de pre-authenticatie DTLS-handshake binnenkomende recordstructuren. Een speciaal vervormd of gefragmenteerd recordheader veroorzaakt een heap-geheugenoverschrijding in die packet engine, waardoor de controlestroom wordt omgeleid naar willekeurige shellcode — met root-rechten, op het onderliggende FreeBSD-besturingssysteem. Dat is geen gewone webkwetsbaarheid: het raakt de kernverwerking van netwerkverkeer, voordat er ooit een gebruikersaccount in het spel komt. Geslaagde exploitatie laat twee sporen na: een SSL-handshake-foutmelding in de syslog, en in `/var/log/messages` een bericht dat het NSPPE-proces is afgesloten met "orphan rings" en dat de watchdog-daemon het niet herstart — een indicatie dat de packet engine letterlijk gecrasht en herstart is door de exploit.
Wat de aanvallers daarna deden, is nog interessanter. Mandiant vond twee nieuwe, op maat gebouwde schadelijke tools: een PHP-webshell genaamd WHIPSHOT en een Python-tunnelprogramma genaamd SLAPSHOT. De installatieroutine verstopte zich door de webserverconfiguratie aan te passen zodat bestanden met onschuldig ogende extensies — `.deb`, of `.sig` achter een vermomming als `.ico`-afbeeldingsverzoek — alsnog als PHP-scripts werden uitgevoerd. Commando's werden base64-gecodeerd meegegeven in gewone HTTP-headers, zodat ze niet opvielen in logverkeer. Om ook na een herstart root-rechten te behouden, zette de aanvaller de setuid-bit op `/bin/sh`, zodat elk volgend verzoek via de webshell weer met de hoogste rechten draaide. SLAPSHOT fungeerde vervolgens als tunnel naar het interne netwerk, waarmee de aanvaller handmatig verkenning deed en inloggegevens buitmaakte bij ten minste één slachtoffer.
Dit is niet de eerste keer dat NetScaler-apparaten op deze manier sneuvelen, en dat patroon is het eigenlijke verhaal. In 2023 ontdekten Fox-IT (onderdeel van NCC Group) en het Dutch Institute for Vulnerability Disclosure een geautomatiseerde campagne tegen CVE-2023-3519: op het hoogtepunt stonden 31.127 NetScalers wereldwijd open, en weken later waren er nog altijd 1.828 backdoored — waarvan 1.248 inmiddels wél gepatcht waren. De webshell overleefde de patch gewoon, omdat die het achterliggende probleem niet wegneemt als het apparaat niet herbouwd wordt. Enkele maanden later volgde "CitrixBleed" (CVE-2023-4966), waarbij sessietokens uit het geheugen konden worden gelekt om authenticatie en MFA te omzeilen — binnen enkele weken na publicatie geautomatiseerd ingezet door ransomwaregroepen. In 2025 kwam er een vergelijkbare fout die de bijnaam "CitrixBleed 2" kreeg (CVE-2025-5777), en in augustus van dit jaar patchte Citrix nog twee andere kritieke NetScaler-fouten (CVE-2026-19489 en CVE-2026-19490). Dit incident van eind september is dus niet een uitzondering, maar het nieuwste punt op een lijn die zich bijna jaarlijks herhaalt: een edge-apparaat dat per definitie vanaf het internet bereikbaar moet zijn, wordt telkens opnieuw de kortste weg naar binnen.
Mandiant en GTIG zien slachtoffers in de sectoren overheid, financiële diensten, technologie, onderwijs en juridische/professionele dienstverlening, verspreid over Noord-Amerika en Europa — zonder namen van getroffen organisaties te noemen. Over hoeveel apparaten wereldwijd blootgesteld stonden, lopen de tellingen uiteen: Shadowserver sprak van ruim 22.000 internetgerichte NetScaler-instanties, Palo Alto's Cortex Xpanse kwam op meer dan 50.000 mogelijk kwetsbare systemen. Beide cijfers zijn gebaseerd op andere scanmethodes en geen van beide is de "officiële" waarheid — maar zelfs de laagste schatting is fors.
Voor een consultant is de volgorde van acties hier belangrijker dan het precieze aantal. Citrix en CISA raden uitdrukkelijk aan om, vóór het patchen, eerst te controleren op tekenen van compromittering en forensisch bewijs (logs, een geheugendump, een support bundle) te bewaren — omdat een update net dat bewijs kan wissen. Citrix heeft zelf een IOC-scan beschikbaar gesteld via de NetScaler Console, maar waarschuwt zelf dat die niet alle technieken dekt: een schone scan is geen garantie. Omdat de gelekte configuratiedata wachtwoorden, certificaten en sleutels kan bevatten, hoort bij elk getroffen apparaat ook een rotatie van die geheimen, niet alleen een patch.
Van de acht gepubliceerde kwetsbaarheden zijn er maar twee bevestigd actief misbruikt; de andere zes zijn voorzorgspatches, geen gerapporteerde aanvallen. Het exacte technische mechanisme achter CVE-2026-88771 — hoe de inputvalidatiefout precies tot commando-uitvoering leidt — is door geen van de geraadpleegde bronnen in evenveel detail gepubliceerd als dat van CVE-2026-88772; Citrix en de onderzoeksbureaus noemen het "improper input validation", zonder de code-laag te tonen. Of de webshells deze keer, net als in 2023, een patch kunnen overleven, is op basis van de geraadpleegde bronnen niet met zekerheid vast te stellen — dat verdient navolging. En de blootstellingscijfers (22.000 versus 50.000-plus) tonen vooral dat niemand exact weet hoeveel apparaten er nog kwetsbaar zijn.
De geschiedenis van NetScaler-kwetsbaarheden volgt een vast patroon: eerst gerichte, staatsgelieerde exploitatie, dan een publieke technische write-up, en dan — vaak binnen enkele weken — geautomatiseerde massamisbruik door ransomwaregroepen zodra het aanvalspad breed bekend is. Bij CitrixBleed in 2023 was dat ongeveer drie weken. Het is dus zinvol om de komende weken te volgen of er een werkend, publiek proof-of-concept opduikt voor CVE-2026-88771, want dat zou de drempel voor criminele groepen drastisch verlagen. Daarnaast is het de moeite waard om te zien hoe snel organisaties daadwerkelijk patchen: in 2023 duurde het maanden voordat het aantal kwetsbare apparaten substantieel daalde. Wie zelf NetScaler-apparaten beheert, controleert dus niet alleen of de patch binnen is, maar ook of er in de periode vóór 27 september al sporen van misbruik te vinden zijn — want voor dit lek lag die periode weken eerder dan de meeste beheerders beseften.