Citrix hat am 27. September 2026 bestätigt, dass zwei kritische Remote-Code-Execution-Lücken in NetScaler ADC und NetScaler Gateway als Zero-Days aktiv ausgenutzt werden. Das Sicherheitsbulletin CTX697096 enthält die Patches; CISA hat beide Schwachstellen am selben Tag in den Known Exploited Vulnerabilities Katalog aufgenommen, mit einer Frist bis zum 30. September für US-Bundesbehörden. (BleepingComputer)

Wer in einem Betrieb mit 10 bis 100 Mitarbeitern eine NetScaler-Box im Netz stehen hat – und das ist bei praktisch jedem der Fall, der Remote-Zugang oder VPN anbietet –, der sollte diese Meldung ernst nehmen. Die Box sitzt an der Grenze zwischen Internet und internem Netz. Ist sie kompromittiert, steht der Angreifer bereits hinter der Tür, die er eigentlich hätte aufbrechen müssen. Am Wochenende haben Administratoren auf Reddit berichtet, dass IT-Dienstleister und Sicherheitsteams per Telefon angerufen haben und ohne weitere Details nur eines sagten: NetScaler sofort herunterfahren. Das ist kein theoretisches Risiko.

Technische Einordnung

Zwei CVEs stehen im Zentrum: CVE-2026-88771 (CVSS 9.5, CWE-20) und CVE-2026-88772 (CVSS 9.5, CWE-119). Die erste ist eine fehlerhafte Eingabevalidierung: Ein nicht authentisierter Angreifer kann beliebige Befehle ausführen. Citrix betont, dass sie alle NetScaler ADC- und Gateway-Deployments betrifft, auch mit Standardkonfiguration, ohne dass eine zusätzliche Funktion aktiviert sein muss. Die zweite ist ein Memory-Overflow, der zu RCE oder DoS führt – ausnutzbar, wenn DTLS aktiviert ist. Und hier der Haken: DTLS ist auf VPN-Virtual-Servern standardmäßig an.

Betroffen sind laut Citrix folgende Versionen: NetScaler ADC und Gateway 14.1 vor 14.1-73.37, 13.1 vor 13.1-64.23, FIPS vor 14.1-73.37 FIPS sowie FIPS und NDcPP vor 13.1-37.279. Secure Private Access Hybrid-Deployments sind ebenfalls betroffen. Das Bulletin schließt insgesamt acht Lücken ab, CVE-2026-88771 bis CVE-2026-88778. Auffällig: CVE-2026-88778 (TCP ISN-Prediktion, CVSS 8.8) wird laut The Gold Standard nicht allein durch das Upgrade geschlossen, sondern erfordert zusätzlich die Aktivierung von Enhanced ISN Generation.

The Gold Standard nennt noch einen praktischen Hinweis von watchTowr: Auf 13.1 kann ein Upgrade zu einem Reboot-Loop führen, wenn das Kommando show ns variable Variablen zurückgibt. In dem Fall soll die Version 13.1-64.24 als Zwischenstopp dienen. Wer noch 12.1 oder 13.0 fährt, ist end-of-life und bekommt keine Sicherheitsupdates mehr – diese Geräte müssen auf eine unterstützte Version migriert werden.

Was jetzt zu tun ist

1. Inventur und Versionscheck: Alle selbst betriebenen NetScaler ADC- und Gateway-Geräte auflisten und die laufende Version mit der obigen Liste abgleichen. Wer 12.1 oder 13.0 betreibt, muss auf eine unterstützte Release-Linie umsteigen, da diese Versionen keine Patches mehr erhalten.
2. Patch einspielen oder Exposition reduzieren: Die gepatchte Version 14.1-73.37 bzw. 13.1-64.23 installieren. Ist das nicht sofort möglich, die Internet-Erreichbarkeit der Box so weit wie operationell möglich reduzieren – die NetScaler-Instanz aus dem Publikumsnetz nehmen, nicht erst am nächsten Wartungstermin dran denken.
3. Logs sichern und 88778-Setting prüfen: Wer eine betroffene Box im Internet hatte, sichert vor dem Upgrade die Logfiles als forensische Evidenz. Zusätzlich die Enhanced ISN Generation-Einstellung für CVE-2026-88778 setzen, da das Upgrade allein diese Lücke nicht schließt.

Das Ärgerliche an einer Lücke, die alle Standardkonfigurationen trifft: Man muss sich nicht versehentlich falsch eingestellt haben. Die Box war einfach an, und das hat gereicht. Wer jetzt unsicher ist, ob die eigene NetScaler-Instanz sauber gepatcht ist oder ob die DTLS-Einstellungen auf den VPN-Servern so stehen, wie man es für sicher hält, hat damit schon die richtige Frage gestellt. Wir schauen uns das gerne konkret an – einmal durch Ihre NetScaler-Konfiguration, die Version und die relevanten Einstellungen. Kontakt.

Beitragsbild: panumas nikhomkhai auf Pexels