Threat Response - Critical vulnerabilities in Netscaler ADC & Netscaler Gateway

Citrix disclosed eight critical and high-severity vulnerabilities affecting Citrix NetScaler ADC and NetScaler Gateway [1]. Active exploitation of two vulnerabilities has already been observed.

Since multiple devices are already compromised, our advice is to isolate the device from the network, to prevent any further compromise. Please reach out to the Northwave CERT to discuss further steps. After investigation, the device can be patched to the latest version to remediate the vulnerabilities.

 

Eight security vulnerabilities have been discovered in Citrix NetScaler ADC and NetScaler Gateway products:

Two of these vulnerabilities (CVE-2026-88771 and CVE-2026-88772) are already actively exploited in the wild. The vulnerabilities affect NetScaler versions 14.1 before 14.1-73.37 and 13.1 before 13.1-64.23, including FIPS editions. The issues range from remote code execution flaws to memory overflow vulnerabilities and HTTP request smuggling. Several vulnerabilities affect default configurations, meaning systems are vulnerable without any special features being enabled.

 

We estimate the impact of these vulnerabilities as high, as they enable a threat actor to gain unauthenticated remote code execution.

 

We estimate the risk of these vulnerabilities as high, because of the popularity of the NetScaler ADC and the and the widespread usage of these appliances. Citrix noted that the vulnerability CVE-2026-88771 and CVE-2026-88772 are actively exploited.

 

Customers using NetScaler ADC and NetScaler Gateway are strongly advised to contain the device from the network, as multiple devices have already been compromised. Please contact Northwave CERT to discuss how to proceed.

After making sure your device has not been compromised, install the relevant updated versions as soon as possible.

Start with containing the device from the network. Afterwards, contact the Northwave CERT to help identification of compromise on your device. After making sure your device is not compromised install the latest versions of the firmware.

 

Vulnerability Management customers will be informed in case vulnerable systems are detected in their infrastructure.

We will monitor any developments regarding this vulnerability. If new critical information about this threat arises, we will reach out to you. You can call us by phone or send us an email if you would like additional information.

Citrix heeft acht kritieke en ernstige kwetsbaarheden openbaar gemaakt die van invloed zijn op Citrix NetScaler ADC en NetScaler Gateway [1]. Actieve uitbuiting van twee van deze kwetsbaarheden is reeds waargenomen.

Aangezien er reeds meerdere apparaten zijn gecompromitteerd, is het advies om het betreffende apparaat onmiddellijk van het netwerk te isoleren om verdere compromittering te voorkomen. Neem contact op met het Northwave CERT om de vervolgstappen te bespreken. Na afronding van het onderzoek kan het apparaat worden bijgewerkt naar de meest recente versie om de geïdentificeerde kwetsbaarheden te verhelpen.

 

Eight beveiligingskwetsbaarheden zijn ontdekt in Citrix NetScaler ADC- en NetScaler Gateway-producten:

Twee van deze kwetsbaarheden (CVE-2026-88771 en CVE-2026-88772) worden momenteel al actief misbruikt in aanvallen. De kwetsbaarheden treffen NetScaler-versies 14.1 vóór 14.1-73.37 en 13.1 vóór 13.1-64.23, inclusief de FIPS-edities.

 

De kwetsbaarheden variëren van kwetsbaarheden voor remote code execution (RCE) tot geheugenoverloopkwetsbaarheden en HTTP request smuggling. Meerdere kwetsbaarheden zijn aanwezig in de standaardconfiguratie van NetScaler, waardoor systemen kwetsbaar zijn zonder dat specifieke functies of aanvullende configuraties zijn ingeschakeld.

 

Wij schatten de impact van deze kwetsbaarheden als hoog in, omdat ze een kwaadwillende in staat stellen om ongeauthenticeerde remote code execution uit te voeren.

 

Wij schatten het risico als hoog in, vanwege de populariteit van NetScaler ADC en NetScaler Gateway, de bereikbaarheid vanaf het internet, en het brede gebruik van deze apparaten. Citrix heeft aangegeven dat CVE-2025-7775 actief wordt misbruikt.

 

Klanten die gebruikmaken van NetScaler ADC en NetScaler Gateway wordt met klem geadviseerd het apparaat van het netwerk te isoleren, aangezien reeds meerdere systemen zijn gecompromitteerd. Neem contact op met het Northwave CERT om de vervolgstappen en de verdere aanpak te bespreken.

 

Nadat is vastgesteld dat het apparaat niet is gecompromitteerd, adviseren wij om zo spoedig mogelijk de relevante beveiligingsupdates en de meest recente beschikbare versie te installeren om de kwetsbaarheden te verhelpen.

 

Begin met het isoleren van het apparaat van het netwerk om verdere compromittering te voorkomen. Neem vervolgens contact op met het Northwave CERT voor ondersteuning bij het vaststellen of het apparaat is gecompromitteerd.

Nadat is bevestigd dat het apparaat niet is gecompromitteerd, adviseren wij om zo snel mogelijk de meest recente firmwareversie te installeren om de kwetsbaarheden te verhelpen.

 

Klanten van Vulnerability Management worden geïnformeerd als kwetsbare systemen in hun infrastructuur worden gedetecteerd.

Wij blijven de ontwikkelingen rondom deze kwetsbaarheid volgen. Als er nieuwe kritieke informatie beschikbaar komt, nemen wij contact met u op. U kunt ons bellen of e-mailen als u aanvullende informatie wenst.