Citrix security bulletin CTX696939 — voor wie NetScaler ADC of Gateway gebruikt voor remote access
KMO-IMPACT: DRINGEND
Draait uw remote access of applicatie-gateway op Citrix NetScaler ADC of NetScaler Gateway? Upgrade vandaag. CISA plaatste CVE-2026-19490 op 9 september 2026 op de lijst van actief misbruikte lekken, met federale patchdeadline zaterdag 12 september 2026 én forensische triage. Het lek laat een niet-ingelogde aanvaller authenticatie omzeilen op toestellen die als Gateway of AAA-virtual server staan. Citrix geeft geen workaround.
Wat er speelt
CVE-2026-19490 is een authentication bypass via een alternatief pad of kanaal (CWE-288) in NetScaler ADC en NetScaler Gateway. Het toestel is getroffen wanneer het als Gateway is geconfigureerd (SSL VPN, ICA Proxy, CVPN of RDP Proxy) of als AAA-virtual server — in nieuwere builds alleen in combinatie met een SAML-action. Bulletin CTX696939 dekt ook CVE-2026-19489 (memory overflow bij SIP ALG op LSN); CISA markeert vooral 19490 als actief misbruikt.
Vaste builds volgens Citrix: NetScaler ADC/Gateway 14.1-73.32 of later; 13.1-63.21 of later; FIPS 14.1-73.32 FIPS of later; 13.1-FIPS/NDcPP 13.1-37.277 of later. Ook Secure Private Access Hybrid met customer-managed NetScaler valt onder het bulletin.
Wat betekent dit voor uw onderneming?
NetScaler zit vaak bij middelgrote kmo’s, accountants, zorggroepen en IT-partners die thuiswerk of klantportalen beveiligen. Een auth-bypass op de gateway is een open deur naar interne apps en sessies. Upgrade beide nodes van een HA-paar: een ongepatchte secondary is opnieuw kwetsbaar zodra die overneemt. Na de upgrade: beëindig actieve sessies, forceer herauthenticatie, en controleer logs op sessies zonder voorafgaande authenticatie. Roteer service-accounts of certificaten als er tekenen van misbruik zijn.
Wat betekent dit voor uw onderneming?
Voor wie: organisaties met eigen of managed NetScaler ADC/Gateway voor VPN of AAA; MSP’s die die toestellen beheren.
Vanaf wanneer: actief misbruik; CISA-deadline zaterdag 12 september 2026 (inclusief forensische triage voor federale agencies).
Financiële impact: upgrade zelf is onderhoudsvenster; schade bij misbruik (data, stilstand, forensiek) niet becijferd in de bronnen.
Wat moet u doen: buildnummer checken; upgraden naar vaste build; sessies resetten; logs nalopen; bij SAML/Gateway-config: prioriteit hoog.
Deadline: zo snel mogelijk, streefdatum zaterdag 12 september 2026.
Nog niet duidelijk: of uw instance al is aangesproken — dat vraagt loganalyse of een security-check.
Praktisch: zo checkt u het
Lees in de NetScaler-CLI of GUI het buildnummer. Zoek in de config naar Gateway/AAA-vservers en eventuele add authentication samlAction. Plant u de upgrade: volg het officiële bulletin CTX696939, test eerst op een lab of secondary waar mogelijk, en documenteer wie remote access nodig heeft tijdens het venster.
