Am 27. September 2026 hat Citrix mit dem Security Bulletin CTX697096 acht weitere kritische Schwachstellen offengelegt, unter ihnen eine Remote-Code-Execution-Lücke, die ohne Authentifizierung ausnutzbar ist. Angriffe auf ungeschützte Installationen werden seit dem 24. September 2026 beobachtet.

Wer einen NetScaler als SSL-VPN, als ICA-Proxy oder als AAA-Server betreibt, hat die Tür zum eigenen Netz auf. Ein Angreifer, der die Appliance kompromittiert, sitzt am Rand des Netzwerks und kann von dort aus interne Systeme kartieren, Zugangsdaten abgreifen oder eine Hintertür einrichten. Für einen Betrieb mit zehn bis hundert Mitarbeitern ist das nicht abstrakt: Der NetScaler ist in vielen Praxen und Kanzleien genau das Gerät, über das Mitarbeiter von zu Hause ins Netz kommen. Fällt er, fällt die gesamte Fernzugriffsschicht.

Was genau betroffen ist

Es handelt sich um zwei getrennte Schwachstellenwellen, die dieselbe Produktlinie treffen. Die erste wurde bereits im August bekannt: security-insider.de berichtet, dass das BSI die Lücken EUVD-2026-62395 / CVE-2026-19490 (CVSS 9,3) und EUVD-2026-62394 / CVE-2026-19489 (CVSS 8,8) in seine aktuellen Sicherheitshinweise aufgenommen hat. CVE-2026-19490 ermöglicht einen Authentifizierungs-Bypass über einen alternativen Zugriffspfad – Voraussetzung ist, dass die Appliance als Gateway für SSL-VPN, ICA-Proxy, CVPN oder RDP-Proxy oder als AAA-Virtual-Server konfiguriert ist. CVE-2026-19489 ist ein Speicherüberlauf, der nur ausnutzbar ist, wenn SIP ALG für eine Large-Scale-NAT-Gruppe aktiviert ist. Citrix nennt im Advisory den Prüfeintrag „add lsn group.*sipalg.*" als Indiz für diese Konfiguration.

Die zweite Welle kam am 27. September: Das Bulletin CTX697096 listet acht CVEs – von CVE-2026-88771 bis CVE-2026-88778. CVE-2026-88771 ist eine Remote-Code-Execution-Schwachstelle durch unzureichende Eingabevalidierung, ausnutzbar ohne Authentifizierung, mit einem CVSS-Score von 9,5. CVE-2026-88772 basiert auf einem Speicherüberlauf und kann zur Codeausführung oder zu einem Denial-of-Service führen, ebenfalls mit 9,5. Borns IT-Blog berichtet, dass Sicherheitsfirmen Kunden bereits am Samstag, den 26. September, angewiesen hätten, die Systeme herunterzufahren. Eine nicht öffentliche Warnung des niederländischen CERT sprach von zwei Zero-Days, die „Anfang der Woche" gepatcht würden. Die Sicherheitsfirma watchTowr hatte am 26. September vor den ungepatchten RCE-Lücken gewarnt, wie iplogger.org zusammenfasst.

Die CISA hat CVE-2026-19490 am 9. September als aktiv ausgenutzt gemeldet und in ihren KEV-Katalog aufgenommen; für US-Bundesbehörden galt eine Patchfrist bis zum 12. September. ad-hoc-news.de zitiert den Sicherheitsdienstleister Previdian, der zwischen dem 3. und 7. September 2026 insgesamt 18 Ausnutzungsversuche von neun unterschiedlichen IP-Adressen registrierte. Seit dem 3. September wurden zudem 56 Honeypot-Zugriffsversuche verzeichnet, allein am 8. September 36. Laut security-insider.de sind keine Workarounds verfügbar.

Betroffen sind NetScaler ADC und Gateway 14.1 vor Build 14.1-73.37, 13.1 vor Build 13.1-64.23, sowie die FIPS- und NDcPP-Varianten. Citrix verwaltete Cloud-Dienste und Adaptive Authentication werden vom Hersteller selbst aktualisiert – betroffen sind ausschließlich selbst verwaltete Appliances.

Was jetzt zu tun ist

1. Prüfen, welche Version läuft: Auf der Appliance den aktuellen Build ablesen und mit den obigen Schwellwerten vergleichen. Wer 14.1 vor 73.37 oder 13.1 vor 64.23 fährt, muss patchen. Für die Konfigurationsprüfung der ersten Welle: im Konfigurationsverzeichnis nach „add authentication samlAction", „add authentication vserver" oder „add vpn vserver" suchen – steht dort etwas, ist die Appliance für CVE-2026-19490 exponiert.
2. Firmware-Update einspielen: Für 14.1 die Version 14.1-73.37, für 13.1 die Version 13.1-64.23, für FIPS/NDcPP die jeweiligen Pendants. Citrix stellt die Updates bereit. Wer die Appliance nicht sofort neu starten kann, sollte zumindest den Verwaltungszugriff auf vertrauenswürdige Netzwerke beschränken und die Firewall-Regeln für Ingress und Egress straffen.
3. Das ist der schnellste Weg, festzustellen, ob bereits jemand da war.

Das Ärgerliche an solchen Lücken: Man merkt sie erst, wenn die Protokolle schon voll sind. Wer unsicher ist, ob die eigene NetScaler-Konfiguration sauber aussieht und die Logs keine Auffälligkeiten zeigen, kann sich das gerne einmal gemeinsam ansehen: hier geht es zum Kontakt. Ein Blick in die Konfiguration und ein Durchgang durch die Zugriffslogs dauert keine halbe Stunde – und ist deutlich kürzer als die Aufarbeitung, die danach kommt.

Beitragsbild: panumas nikhomkhai auf Pexels