To måneder mellem rettelse og panik
Citrix rettede CVE-2026-8452, en memory-overflow-sårbarhed i NetScaler ADC og NetScaler Gateway, den 30. juni 2026. I to måneder blev fejlen kun beskrevet i advarslerne som en vag "memory overflow" - den slags beskrivelse, der sjældent sender en rettelse til tops i nogens kø.
Det ændrede sig, da sikkerhedsforskerne hos WatchTowr offentliggjorde en offentlig proof-of-concept, der gjorde memory overflow-fejlen til fjernudførelse af kode uden autentificering. Så snart de tekniske detaljer var kendt, kunne enhver angriber med den kode ramme upatchede NetScaler-enheder direkte, uden behov for gyldige loginoplysninger.
Fra proof-of-concept til aktiv udnyttelse
CISA tilføjede CVE-2026-8452 til sin Known Exploited Vulnerabilities-katalog den 26. august 2026 og satte en udbedringsfrist til den 29. august 2026 for amerikanske forbundsmyndigheder. Optagelsen i KEV bekræfter det, proof-of-concepten gjorde muligt: reel udnyttelse, ikke en teoretisk laboratorierisiko.
Angribere placerer allerede webshells på kompromitterede enheder - blandt de observerede filnavne er x.php og z.php - på NetScaler Gateway- og AAA-virtuelserver-konfigurationer. Det er de samme konfigurationer, som virksomheder i EU og Storbritannien bruger til SSL VPN, ICA Proxy, CVPN og RDP Proxy ved fjernadgang, hvilket betyder, at en kompromitteret enhed kan give en angriber direkte adgang til netop de systemer, der skal beskytte fjernadgangen.
Hvilke NetScaler-versioner er faktisk rettet
Citrix' rettelse landede i tre konkrete builds, og enhver, der kører en ældre version, efterlader vejen til fjernudførelse af kode uden autentificering åben. De rettede versioner er 14.1-72.61, 13.1-63.18 og 13.1-37.272.
| Spor | Rettet version |
|---|---|
| NetScaler 14.1 | 14.1-72.61 |
| NetScaler 13.1 | 13.1-63.18 |
| NetScaler 13.1 (ældre gren) | 13.1-37.272 |
Sikkerhedsfirmaet Bishop Fox's tekniske analyse bekræftede, hvordan rettelsen lukker udnyttelsesvejen, og at enheder på disse builds ikke længere er sårbare over for den teknik, WatchTowr offentliggjorde.
Ledelseslektien: en lukket sag er ikke en verificeret rettelse
En sag, der blev lukket den 30. juni 2026, viser kun, at nogen noterede sig Citrix' advarsel, ikke at rettelsen faktisk blev installeret på hver eneste enhed. Det egentlige eksponeringsvindue for CVE-2026-8452 åbnede sig ikke i juni - det åbnede sig i august, i det øjeblik WatchTowrs proof-of-concept gjorde en vag beskrivelse til en fungerende exploit, som enhver angriber kunne kopiere.
For virksomheder i EU og Storbritannien, der bruger NetScaler Gateway til VPN eller fjernadgang, er det spørgsmål, der tæller i dag, ikke om juni-sagen blev lukket. Det er, om enheden faktisk kører 14.1-72.61, 13.1-63.18 eller 13.1-37.272, og om det versionsnummer blev bekræftet direkte på selve enheden i stedet for at blive antaget ud fra en ændringslog. BleepingComputers dækning af CISA's påbud gør det samme punkt tydeligt for forbundsmyndigheder, der nu står over for en frist om lørdagen: datoen for advarslen og datoen for verifikationen er ikke samme dato, og kun den anden lukker faktisk hullet.
Læs videre: 9,8 CVSS: macOS VNC-fejl miner nu Monero | Din VPN-patch fra april bliver udnyttet nu
