Citrix publicerade den 27 september 2026 säkerhetsbulletinen CTX697096 för NetScaler ADC och NetScaler Gateway. Åtta CVE-nummer omfattas. Två av dem, CVE-2026-88771 och CVE-2026-88772, har enligt leverantören redan utnyttjats på installationer utan skyddsåtgärder. CISA lade båda i sin KEV-katalog samma dag. För driftteam som använder NetScaler som VPN-gateway eller applikationsfront är detta ett incident- och ändringsärende som behöver tas om hand skyndsamt.
NetScaler kan vara en central punkt för fjärråtkomst, identitet och trafik till interna system. Om en sådan nod komprometteras kan följderna sträcka sig längre än själva nätverksfunktionen. Exakt påverkan beror på konfigurationen, anslutna tjänster och vilka hemligheter enheten hanterar. Varken Citrix bulletin eller KEV säger att varje sårbar installation redan har komprometterats.
Två exploaterade brister
CVE-2026-88771 är en brist i indatavalidering som enligt Citrix kan låta en oautentiserad angripare köra godtyckliga kommandon på distans. Alla NetScaler ADC- och Gateway-installationer i berörda versioner omfattas, även med standardkonfiguration. Ingen extra funktion behöver vara påslagen. Citrix ger den CVSS v4.0 9,5.
CVE-2026-88772 är ett minnesfel som enligt samma bulletin kan leda till fjärrkörning av kod eller överbelastning. Här krävs att DTLS används. Citrix anger att DTLS som regel är aktiverat på en VPN-vServer om det inte uttryckligen har stängts av. Även denna brist har CVSS v4.0 9,5. En kontroll av DTLS kan alltså avgränsa just den andra bristen, men löser inte exponeringen för 88771.
Citrix uppger uttryckligen att exploatering av båda sårbarheterna har observerats på oskyddade installationer. CISA:s tillägg i Known Exploited Vulnerabilities den 27 september är separat offentlig bekräftelse. Den exakta första tidpunkten för exploatering framgår inte av de kontrollerade primärkällorna. Någon fungerande offentlig PoC för dessa två CVE:er har inte självständigt kunnat verifieras. En PoC ska inte blandas ihop med bekräftad exploatering.
Versioner, korrigeringar och övriga brister
För kundhanterade NetScaler ADC och Gateway berörs 14.1 före 14.1-73.37 och 13.1 före 13.1-64.23. För ADC 14.1 FIPS gäller versioner före 14.1-73.37 FIPS; för 13.1 FIPS och NDcPP före 13.1-37.279. Citrix tar också upp Secure Private Access Hybrid-miljöer där egna NetScaler-instanser används. Leverantören anger att den själv uppdaterar Citrix-hanterade molntjänster och Adaptive Authentication.
Bulletinens korrigerade nivåer är 14.1-73.37, 13.1-64.23 och motsvarande FIPS- och NDcPP-byggen, eller senare inom respektive gren. Citrix nedladdningssida visade vid kontroll den 28 september 14.1-73.37, 13.1-64.24 och 13.1-37.279 FIPS. Att en senare 13.1-build listas för nedladdning ändrar inte bulletinens lägsta korrigerade nivå. Välj ett tillgängligt kompatibelt paket och verifiera build på varje faktisk nod.
Samma bulletin beskriver även CVE-2026-88773 till CVE-2026-88778. De har olika förutsättningar, bland annat HTTP-konfiguration, Gateway eller AAA, särskild lastbalansering och TCP-inställningar. För 88778 anger Citrix dessutom en särskild ändring för förbättrad generering av TCP-sekvensnummer. Den här artikelns Akut-klassning drivs av de två bekräftat exploaterade bristerna, men uppgraderingsplanen bör omfatta hela bulletinens krav. En installation som bara adresserar DTLS har inte därmed skydd mot den första bristen.
Inventera och bevara spår
Börja med att inventera alla egna instanser: VPX, MPX, SDX-gäster, högtillgänglighetspar, reservmiljöer och NetScaler inom Secure Private Access Hybrid. Notera firmwarebuild, roll, internetexponering, DTLS-inställning och kopplingar till exempelvis LDAP, RADIUS och andra identitetstjänster. Jämför varje nod med Citrix versionsmatris. Utgå inte från att en klusteretikett beskriver alla medlemmar.
För exponerade system behöver säkerhetsansvariga bedöma om spår ska säkras före isolering eller uppgradering. Citrix separata vägledning för misstänkt komprometterade NetScaler-enheter beskriver bevarande av lokala loggar, fjärrsyslog, snapshots för VPX och tekniska supportpaket. Den tar även upp isolering, granskning av anslutna system och byte av lösenord, API-nycklar, delade hemligheter och certifikat som kan ha funnits på en komprometterad nod. Dessa åtgärder ska anpassas till den egna incidentprocessen. En patch undersöker inte automatiskt om ett intrång redan har inträffat.
Uppdatera med hänsyn till driften
Planera skyndsam uppgradering till en korrigerad build. Citrix dokumentation för HA-par anger att den sekundära noden normalt tas först och att båda noder ska nå avsedd version. Under ett versionsglapp kan synkronisering och failover-egenskaper påverkas. För en fristående nod kan omstarten innebära avbrott för VPN och publicerade applikationer. Säkerställ därför backup av konfiguration, planerat servicefönster, kontroll av aktiva sessioner och en återgångsplan. Den faktiska driftpåverkan beror på topologi och hur redundansen är byggd.
Det finns ingen verifierad, generell tillfällig åtgärd i Citrix bulletin som fullständigt skyddar mot båda exploaterade bristerna. Begränsning av exponering och åtkomst till administrationsfunktioner kan minska angreppsytan. Att stänga DTLS där det inte behövs kan påverka förutsättningarna för 88772, men skyddar inte mot 88771 som gäller standardkonfiguration. Sådana åtgärder får inte ersätta firmwareuppgradering eller incidentbedömning.
Efter uppdateringen ska varje instans kontrolleras mot rätt build. Verifiera att VPN, lastbalansering, autentisering och hälsokontroller fungerar. För HA-miljöer behöver båda noderna vara uppdaterade och synkroniseringen återställd. Följ upp larm och loggar och dokumentera vilka spår som säkrats samt när varje nod uppgraderades. Då går det att skilja en lyckad patchning från en avslutad incidentutredning.
LabOps IT:s bedömning
Åtgärdsprioritet: Akut. Oautentiserad fjärrkörning av kod i standardkonfiguration, två Citrix-poäng på CVSS v4.0 9,5, leverantörens bekräftelse på exploatering och CISA KEV motiverar omedelbar inventering och prioriterad åtgärd. Citrix klassar bulletinen som Critical. LabOps IT:s prioritet är en praktisk driftbedömning; den är inte ytterligare en officiell CVSS-klassning. Högst risk finns där kundhanterade noder är internetexponerade och förmedlar fjärråtkomst eller identitet.
CISA anger den 30 september som åtgärdsdatum inom den federala processen. Det är ingen garanti för att andra kan vänta till dess. Angreppens omfattning, första exploateringsdatum och tillgången till en fungerande offentlig PoC är fortfarande okända i vårt verifierade underlag. Även efter uppgradering kan historisk exponering kräva en separat intrångsundersökning.