Aanvallers maken actief misbruik van een kritieke kwetsbaarheid in Citrix Netscaler ADC en Citrix Netscaler Gateway waardoor aanvallers kwetsbare systemen in het ergste geval kunnen overnemen, zo meldt securitybedrijf watchTowr op basis van eigen onderzoek. Beveiligingsupdates voor het probleem, aangeduid als CVE-2026-3055, zijn sinds 23 maart beschikbaar. Citrix liet weten dat eigen onderzoekers het probleem hadden gevonden. Volgens watchTowr vinden aanvallen waarbij de kwetsbaarheid wordt misbruikt al zeker sinds 27 maart plaats.

Door onvoldoende invoervalidatie kan een 'Out-of-bounds Read' ontstaan, waardoor aanvallers allerlei gevoelige informatie uit het geheugen van de Citrix-apparaten kunnen lezen, om daarmee verdere aanvallen uit te voeren. Het gaat onder andere om 'authenticated administrative session ID's', waarmee een aanvaller admintoegang tot de Citrix-apparaten kan krijgen, aldus de onderzoekers van watchTowr.

NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd NetScaler-systeem kan dan ook groot zijn.

Het Britse National Cyber Security Centre (NCSC) deed op 25 maart een oproep aan Britse organisaties om de update voor CVE-2026-3055 meteen te installeren. WatchTowr stelt op basis van eigen informatie dat de kwetsbaarheid tenminste sinds 27 maart bij aanvallen is ingezet. Nog geen vier dagen na het uitkomen van de update. "Dit is een indrukwekkende doorlooptijd voor een beveiligingslek dat Citrix intern had gevonden...", zo laten de onderzoekers van het securitybedrijf weten. Die voegen toe dat het memory management van Citrix-apparaten "niet best" is, mede omdat CVE-2026-3055 veel lijkt op twee andere geheugenlekken in de apparatuur, die bekendstaan als CitrixBleed en CitrixBleed2.