NetScaler-zeroday: tegengehouden door SSL-decryptie

In oktober 2026 bevestigde Citrix twee kritieke zeroday-kwetsbaarheden in NetScaler ADC en NetScaler Gateway. Aanvallers misbruikten ze al voordat er een patch bestond.

Door een van beide lekken, CVE-2026-88771, kan een aanvaller zonder inloggegevens willekeurige commando's op de appliance uitvoeren. Een tijdlang was er geen patch. Elke organisatie met een kwetsbare NetScaler stond open voor aanvallen.

Toch bleven verschillende klanten van ons met een kwetsbare NetScaler buiten schot. Hun firewall zag het exploitverkeer aankomen en blokkeerde het voordat het de appliance bereikte.

Het verschil zat niet in een beter product of een snellere patch. Het zat in een functie die de meeste firewalls al hebben, maar die veel organisaties nooit inschakelen: SSL-decryptie.

We legden het in 2015 al uit

Elf jaar geleden publiceerden we op deze site een blog met de titel "In het land der encryptie is eenoog koning". HTTP/2 kwam net op, en daarbij stond encryptie standaard aan. Het argument was eenvoudig: wat je niet ziet, kun je niet tegenhouden. Encryptie neemt het zicht weg, en de juiste inrichting geeft het terug.

Dat argument is in al die jaren niets verouderd. Wat wel is veranderd, is de schaal. In 2015 was encryptie in opmars. Nu is zo'n 95% van al het webverkeer versleuteld, en aanvallers gebruiken dezelfde versleutelde kanalen als iedereen. Exploitcode, command injection en malware reizen er allemaal in mee.

De envelop en de brief

Een firewall die niet ontsleutelt, ziet wie met wie praat, maar niet wat er gezegd wordt. Hij leest de envelop, nooit de brief. Zijn threat prevention, intrusion prevention en malware-inspectie kijken dus naar gesloten enveloppen.

Met SSL-decryptie maakt de firewall de envelop even open, controleert de inhoud, plakt hem weer dicht en stuurt hem door.

De blog uit 2015 maakte ook een onderscheid dat nog steeds bepaalt hoeveel werk dit is:

Begin met inbound. Pak daarna outbound aan.

Meer technische achtergrond? Bekijk de Threat Talks-aflevering over het belang van SSL-decryptie (Engelstalig).

Het bewijs: 60 dagen voor en na bij Inwood Bank

Inwood Bank, een Amerikaanse bank en klant van ons, zette op 1 februari 2026 inbound en outbound decryptie aan. Er was geen incident dat de bank ertoe dwong. Ons GSOC pleitte al langer voor inbound decryptie als een van de sterkste maatregelen tegen zerodays, en het IT-team van de bank zag dat net zo: weinig risico, veel winst. "Ik had al het vermoeden dat we zonder decryptie niet alles uit de Palo Alto's haalden", vertelde Rob Miller, Director of IT van de bank. "Mijn gezonde verstand zei: dit moeten we doen."

Later stelden ze een terechte vraag: kun je laten zien wat decryptie echt heeft veranderd? Daar bestond geen standaardrapport voor, dus ons GSOC stelde er een op dat de 60 dagen voor de livegang vergelijkt met de 60 dagen erna.

Inbound, op Citrix (de voordeur van Inwood Bank voor remote access):

Onder de geblokkeerde verzoeken zaten pogingen om inlogpagina's af te tasten of path traversal uit te voeren, zoals /../../bin/sh. Die paden ziet de firewall alleen als de sessie ontsleuteld is.

Kritieke inkomende aanvallen die sinds de livegang zijn geblokkeerd:

Outbound, voor de eigen medewerkers van de bank:

In 60 dagen werd geen verborgen dreiging gevonden. Ook dat is een resultaat: ze weten nu dat het verkeer schoon is, in plaats van dat ze het hopen.

Bescherming tussen exploit en patch

Toen de NetScaler-aanvallen kwamen, was Inwood Bank er klaar voor. Ze werden direct gestopt. Zonder decryptie waren ze onopgemerkt gebleven, tot een aanvaller daadwerkelijk binnen was.

Voor de duidelijkheid: decryptie vervangt patchen niet. Ons advies om te patchen bleef hetzelfde. Wat decryptie deze klanten opleverde, was bescherming in de periode waarin er nog geen patch was. Er blijven zerodays komen, en met elke nieuwe begint die periode opnieuw. Ook daarom was patchen nooit de hele oplossing.

"Het is niet ingewikkeld"

Hoeveel werk was het voor Inwood Bank? "Het proces was vrij eenvoudig, omdat we de certificaten al hadden", zei Miller. "We hebben ze in Palo Alto geüpload, een decryptieregel gemaakt, en het werkte gewoon."

Er zat wel één addertje onder het gras, en dat is goed om vooraf te weten: neem de volledige certificaatketen mee, inclusief de root- en issuing-CA's. Zolang de keten niet compleet was, konden macOS-apparaten met strikte certificaatcontrole geen verbinding maken en gaf een SSL Labs-scan een lagere score. Daar sprong ON2IT bij: we hielpen het probleem op te lossen, de Macs maakten weer verbinding en de hoge score kwam terug. Eén blijvend nadeel: als certificaten worden vernieuwd, moet je ze nu op twee apparaten bijwerken in plaats van op één.

Het IT-team van Inwood Bank bestaat uit zeven mensen en ondersteunt 250 medewerkers. "We zijn geen apart securityteam", zei Miller. "Daarom schakelen we ON2IT in. Als we constant brandjes blussen omdat onze maatregelen niet goed zijn ingericht, gaat dat ten koste van al het andere werk."

Inwood Bank gebruikt MDR Prevent™: ons GSOC beheert de firewalls van de bank. Dat betekent in de praktijk:

• De securityconfiguratie in lijn houden met best practices, inclusief het decryptiebeleid en de uitzonderingen daarop.
• De configuratie elke dag controleren met Policy Validator, en automatisch een case openen als er een risicovolle regel of een ontbrekende securitymaatregel opduikt.
• Nieuwe CVE's en ontwikkelingen bij leveranciers volgen, en zelf het initiatief nemen voor firmware-upgrades.
• Threat-signatures en contentdatabases actueel houden.
• Verbeteringen die nog niet kunnen worden doorgevoerd, vastleggen als Security Improvement Advisories, zodat niemand ze vergeet, ook niet na personeelswisselingen aan een van beide kanten.
• Het risico van elke wijziging beoordelen voordat die wordt doorgevoerd, en die uitvoeren onder strikt change management.
• 24x7x365 bereikbaar zijn per e-mail en telefoon.

Voor een IT-team van zeven mensen is dat het verschil tussen weten dat een maatregel werkt en hopen dat hij werkt.

Drie vragen voor je IT-team

Laat het aan ons over

Ons GSOC richt inbound en outbound SSL-decryptie routinematig in voor klanten. Begin met inbound. Dat is een wijziging met weinig risico die meestal twee tot vier uur kost, en op apparaten van gebruikers hoeft niets te veranderen. Zo dicht je de blinde vlek waar de NetScaler-aanvallers op rekenden. Outbound vraagt meer voorbereiding: certificaten op apparaten, privacy-uitzonderingen en compatibiliteitstests. Daarbij begeleiden we je stap voor stap.

Veelgestelde vragen