Am 4. Oktober 2026 hat Citrix die Schwachstelle CVE-2026-88779 im NetScaler ADC und im NetScaler Gateway bestätigt. Es handelt sich um einen Speicherüberlauf, der einen Denial-of-Service-Angriff ermöglicht – CVSS 4.0 Base Score 8,7. Sicherheitsupdates stehen bereit, und wer eine betroffene Appliance betreibt, sollte zeitnah patchen. Günter Born dokumentiert die Bestätigung und die betroffenen Versionen.

Betroffen sind alle NetScaler-Instanzen, die als SAML-Service-Provider oder SAML-Identity-Provider konfiguriert sind. In der Praxis betrifft das jede Firma, die Single Sign-On über NetScaler abwickelt – also viele Betriebe, die Mitarbeiter oder Kunden über ein Gateway ins interne Netz lassen. Im schlechtesten Fall bricht die Appliance unter dem Angriff zusammen, und der gesamte Remote-Zugang fällt aus. Das ist nicht hypothetisch: Bereits Anfang Oktober wurden Angriffe beobachtet, die auf den am 27. September gepatchten Instanzen zu Abstürzen führten.

Die Schwachstelle und der Kontext

CVE-2026-88779 ist ein Speicherüberlauf-Fehler. Der Trigger ist die SAML-Konfiguration: Ist die Appliance als SAML-SP oder SAML-IdP eingerichtet, greift die Lücke. Betroffen sind NetScaler ADC und Gateway 14.1 vor Version 14.1-73.41 sowie 13.1 vor 13.1-64.28, einschließlich der FIPS- und NDcPP-Varianten. Die gepatchten Versionen lauten 14.1-73.41, 13.1-64.28, 14.1-73.41 FIPS und 13.1-37.282.

Das Einzelfallproblem ist aber nicht das Einzige. Am 27. September 2026 hatte Citrix bereits eine Reihe kritischer Lücken gepatcht, die CSBW zusammenfasst: CVE-2026-88771 und CVE-2026-88772 ermöglichen Remote Code Execution mit jeweils CVSS 9,5, CVE-2026-88773 erlaubt HTTP Request Smuggling (CVSS 9,3).

Besonders CVE-2026-88772 ist aus Sicht des Betriebs brisant. IT Boltwise beschreibt den Angriffspfad: Ein Widerspruch im DTLS-Handshake-Feld fragment_length lässt den Angreifer einen Buffer-Overflow in der NetScaler Packet Processing Engine (NSPPE) konstruieren – und das vor der Authentifizierung. Der interne Scratch-Buffer ist auf 35.840 Bytes ausgelegt, die angreifbare NSB-Kette erreicht im dokumentierten Fall rund 174 KB. Sicherheitsforscher rund um Sina Kheirkhah zeigen, wie sich daraus Shellcode-Ausführung ergibt, unter anderem über die mprotect()-Systemroutine zur Umgehung der NX-Schutzmechanismen.

Zu CVE-2026-88771 ergänzt Cyberwald, dass die Schwachstelle auf einer unzureichenden Eingabevalidierung (CWE-20) beruht und ein nicht authentifizierter Angreifer aus der Ferne beliebige Befehle ausführen kann. Beide Lücken – 88771 und 88772 – sollen in realen Angriffen gemeinsam missbraucht worden sein.

Was jetzt zu tun ist

1. Prüfen, welche NetScaler-Version läuft, und auf 14.1-73.41 bzw. 13.1-64.28 aktualisieren. Wer noch unter der 27.-September-Stufe (14.1-73.37 / 13.1-64.23) steht, springt direkt auf die neue Version – die enthält die älteren Fixes.
2. In der Appliance-Konfiguration nachschauen, ob sie als SAML-SP oder SAML-IdP konfiguriert ist. Nur dann greift CVE-2026-88779. Ist das der Fall, ist der Patch keine Option, sondern Pflicht.
3. Die Logs der letzten zwei Wochen auf untypische SAML-Authentifizierungsversuche und Abstürze der Appliance untersuchen. Wer noch auf der September-Patch-Stufe steht, zusätzlich auf unauthentifizierte Zugriffe und unerwartete Befehlsausführungen prüfen, wie es Cyberwald in der Empfehlung zum Citrix-Artikel CTX697096 beschreibt.

Das Ärgerliche an dieser Geschichte: Man hat gepatcht, und trotzdem bricht die Appliance ab. Nach dem Patch ist vor dem Patch – bei Citrix gilt das scheinbar besonders zuverlässig.

Wenn Sie unsicher sind, ob Ihre NetScaler-Instanz auf dem aktuellen Stand ist und die SAML-Konfiguration sauber steht, schauen wir uns das gern einmal an. Kontakt.

Beitragsbild: Brett Sayles auf Pexels