Citrix repareerde afgelopen weekend alweer een NetScaler-zero-day: een lek in de SAML-verwerking dat aanvallers al inzetten om de appliance te laten crashen en er commando’s op uit te voeren, en dat een week na de vorige NetScaler-patchronde komt. Daarnaast meldt VulnCheck dat een Chinese aanvaller sinds 1 oktober actief jaagt op Rejetto HFS-servers via een kwetsbaarheid die onderzoekers van Horizon3.ai vonden met behulp van een AI-model.
- Nieuwe NetScaler-zero-day in SAML-verwerking actief misbruikt, aanvallers leggen appliances plat en voeren commando’s uit
- Aanvallers misbruiken kritiek lek in Rejetto HFS waarmee een beheersessie kan worden vervalst
Nieuwe NetScaler-zero-day in SAML-verwerking actief misbruikt, aanvallers leggen appliances plat en voeren commando’s uit
| Kwetsbaarheid | Geheugenfout (buffer overflow) in de SAML-authenticatie van Citrix NetScaler, waarmee een aanvaller de appliance kan laten uitvallen en volgens waargenomen aanvallen ook commando’s kan uitvoeren – NetScaler ADC en NetScaler Gateway, alleen wanneer SAML is ingesteld als service provider of identity provider (14.1 voor 14.1-73.41, 13.1 voor 13.1-64.28, 13.1-FIPS en 13.1-NDcPP voor 13.1-37.282) |
| CVE-nummer | CVE-2026-88779 |
| CVSS-score | 8,7 |
| Actief misbruikt | Ja, als zero-day; CISA nam het lek op in de catalogus van actief misbruikte kwetsbaarheden, met een deadline van 7 oktober voor Amerikaanse federale instanties |
| Patch beschikbaar | Ja, sinds 4 oktober 2026 (14.1-73.41, 13.1-64.28 en de bijbehorende FIPS/NDcPP-builds) |
Hoe wordt de kwetsbaarheid misbruikt?
Het lek zit in de verwerking van SAML-authenticatie, de inlogmethode waarmee NetScaler bij veel organisaties single sign-on regelt voor VPN en applicaties. Volgens BleepingComputer sturen aanvallers gebruikersnamen mee die shell-commando’s bevatten, waarmee de appliance een payload van een externe server ophaalt, opslaat als bestand “/v” en uitvoert. Citrix sprak aanvankelijk alleen over een denial-of-service, maar de waargenomen aanvallen wijzen op meer. The Hacker News meldt dat de kwetsbaarheid werd gevonden door Bishop Fox en watchTowr, en dat herhaald misbruik kan leiden tot blijvende onbereikbaarheid van de appliance. Alleen systemen met een SAML-configuratie lopen risico.
Wat kan het gevolg zijn?
De zichtbare gevolgen zijn herhaalde herstarts van de appliance en een kapotte nsaaad-daemon, waardoor VPN en toegang tot applicaties wegvallen. Het uitvoeren van gedownloade payloads betekent echter dat een aanvaller meer kan dan alleen verstoren. Dit is de tweede kritieke NetScaler-kwestie in tien dagen: op 27 september repareerde Citrix al acht andere kwetsbaarheden, waarvan twee als zero-day werden misbruikt. Voor MSP’s die NetScaler voor klanten beheren, betekent dat de appliances opnieuw bekeken moeten worden op sporen van een eerdere inbraak, ook als de vorige update al is doorgevoerd. Citrix meldt dat de integriteit van klantdata niet is aangetast.
Wat moeten IT-beheerders nu doen?
Controleer per NetScaler of er SAML-configuratie aanwezig is (een samlAction of samlIdPProfile in de configuratie) en update naar 14.1-73.41, 13.1-64.28 of de bijbehorende FIPS/NDcPP-build. Zoek op appliances naar het bestand “/v”, onverwachte herstarts, crashes van nsaaad en uitgaand verkeer naar onbekende servers, en bewaar logging voordat u updatet. Blokkeer tot de update bekende kwaadaardige adressen met een Global Deny List.
Aanvallers misbruiken kritiek lek in Rejetto HFS waarmee een beheersessie kan worden vervalst
| Kwetsbaarheid | Zwakke willekeurige-getalgenerator: HFS gebruikt de niet-cryptografische Math.random()-functie van JavaScript voor de sleutel waarmee sessiecookies worden ondertekend, waardoor een aanvaller een geldige beheerderscookie kan vervalsen en uiteindelijk code kan uitvoeren – Rejetto HTTP File Server (HFS) 3.0.0 tot en met 3.2.0 |
| CVE-nummer | CVE-2026-61500 |
| CVSS-score | 9,3 |
| Actief misbruikt | Ja, sinds 1 oktober 2026 volgens VulnCheck, door een niet bij naam genoemde Chinese aanvaller die zich op Amerikaanse hosts richt |
| Patch beschikbaar | Ja, versie 3.2.1 (uitgebracht in juli 2026) |
Hoe kan de kwetsbaarheid misbruikt worden?
HFS is een lichtgewicht bestandsserver die in kleine omgevingen vaak snel wordt opgezet om bestanden te delen. Doordat de ondertekeningssleutel voor sessiecookies voortkomt uit een voorspelbare getalgenerator, kan een aanvaller door inlogreacties te verzamelen de interne status van de generator reconstrueren, de sleutel terugrekenen en een geldige beheerderscookie maken. Met die beheerderstoegang is via de server_code-functie in de configuratie op afstand code uit te voeren. Volgens The Hacker News vond Zach Hanley van Horizon3.ai het lek met behulp van Anthropic’s AI-model Mythos. Zijn technische analyse verscheen op 30 september, een proof-of-concept was eerder al openbaar gemaakt en binnen enkele dagen volgde het eerste misbruik.
Wat kan het gevolg zijn?
Een aanvaller krijgt volledige controle over de server en kan daarmee bestanden stelen of manipuleren en de machine als opstap gebruiken naar het interne netwerk. Opvallend is de snelheid: de patch bestond al sinds juli, maar de combinatie van een gepubliceerde analyse en een werkend proof-of-concept zette binnen enkele dagen aanvallers in beweging. Voor MSP’s is het vooral een signaal om te zoeken naar vergeten HFS-installaties bij klanten, bijvoorbeeld op oude bestandsservers of testmachines die ooit snel zijn opgezet.
Wat moeten IT-beheerders nu doen?
Zoek in klantomgevingen naar draaiende Rejetto HFS-installaties en update die naar versie 3.2.1 of hoger, of verwijder ze als ze niet meer nodig zijn. Zorg dat HFS niet rechtstreeks vanaf het internet bereikbaar is en controleer bij blootgestelde servers op onbekende beheerderssessies, gewijzigde server_code-instellingen en onverwachte processen.
