Citrix NetScaler ADC und Gateway unter aktivem Angriff: BSI warnt, jetzt aktualisieren und Kompromittierung prüfen

Das Wichtigste in Kürze

Die Lage in sechs Punkten, Stand 6. Oktober 2026:

• Betroffen: kundenbetriebene Citrix NetScaler ADC und NetScaler Gateway der Versionen 14.1 und 13.1, inklusive FIPS- und NDcPP-Builds sowie NetScaler-Instanzen in Secure Private Access Hybrid
• Aktiv ausgenutzt: CVE-2026-88771 und CVE-2026-88772 (jeweils CVSS 4.0: 9.5, kritisch) sowie CVE-2026-88779 (CVSS 4.0: 8.7, hoch)
• Angriffe seit: mindestens 5. September 2026, also Wochen vor Veröffentlichung der Patches
• BSI-Einstufung: Kritikalität 3 von 4 („Orange“). Maßnahmen müssen unverzüglich ergriffen werden
• Empfohlene Builds: 14.1-73.41, 13.1-64.28, 14.1-73.41 FIPS und 13.1-37.282 (FIPS/NDcPP) oder neuer
• Wichtig: Das Update entfernt keine bereits installierten Webshells. Eine Kompromittierungsprüfung ist zwingend

Was ist passiert?

Am 27. September 2026 veröffentlichte Citrix ein Sicherheitsbulletin zu acht Schwachstellen in NetScaler ADC und NetScaler Gateway. Zwei davon wurden zu diesem Zeitpunkt bereits aktiv ausgenutzt. Über CVE-2026-88771 können Angreifer laut Hersteller ohne Anmeldung beliebige Befehle auf dem System ausführen. Betroffen sind alle Installationen, auch in der Standardkonfiguration. CVE-2026-88772 ist ein Speicherüberlauf, der ebenfalls zur Ausführung von Schadcode führen kann. Voraussetzung ist eine aktive DTLS-Konfiguration. Bei VPN-Servern ist DTLS ab Werk eingeschaltet.

Das BSI hat am 28. September eine Cybersicherheitswarnung herausgegeben und sie am 1. Oktober aktualisiert. Die Behörde stuft die Lage mit Kritikalität 3 von 4 ein. Das bedeutet nach BSI-Definition: Maßnahmen müssen unverzüglich ergriffen werden, eine massive Beeinträchtigung des Regelbetriebs ist möglich.

Laut BSI reichen die Angriffe mindestens bis zum 5. September zurück. Technische Details zu CVE-2026-88771 wurden wenige Stunden nach der Citrix-Veröffentlichung publiziert. Das BSI bewertet eine Ausnutzung seitdem als einfach und geht davon aus, dass inzwischen weitere Angreifergruppen aktiv sind. Die Behörde empfiehlt deshalb, eine Kompromittierung auch dann aktiv auszuschließen, wenn die Patches unmittelbar nach Erscheinen eingespielt wurden.

Seit 3. Oktober: zusätzliche SAML-Schwachstelle CVE-2026-88779

Am 3. Oktober hat Citrix ein weiteres Bulletin veröffentlicht. CVE-2026-88779 betrifft NetScaler-Systeme, die als SAML Service Provider oder SAML Identity Provider eingerichtet sind. Das ist typischerweise bei Single-Sign-on-Anbindungen der Fall. Citrix beschreibt die Lücke als Speicherüberlauf, der zum Ausfall des Dienstes (Denial of Service) führt. Die US-Cybersicherheitsbehörde CISA hat CVE-2026-88779 am 4. Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen.

Für alle, die Ende September bereits aktualisiert haben, ist das entscheidend: Die damals empfohlenen Builds schließen CVE-2026-88779 nicht. Wer SAML nutzt, muss erneut aktualisieren. Die BSI-Warnung in Version 1.1 vom 1. Oktober berücksichtigt diese Lücke noch nicht.

Betroffene Versionen und verfügbare Updates

Die folgende Übersicht fasst beide Citrix-Bulletins zusammen. Die Builds aus der rechten Spalte enthalten auch alle Korrekturen aus dem September-Bulletin und sind damit der empfohlene Zielstand.

Produktlinie

Betroffen (CVE-2026-88771 bis -88778)

Behoben ab (Bulletin CTX697096)

Empfohlen inkl. CVE-2026-88779 (CTX697174)

ADC und Gateway 14.1

vor 14.1-73.37

14.1-73.37

14.1-73.41 oder neuer

ADC und Gateway 13.1

vor 13.1-64.23

13.1-64.23

13.1-64.28 oder neuer

ADC 14.1-FIPS

vor 14.1-73.37 FIPS

14.1-73.37 FIPS

14.1-73.41 FIPS oder neuer

ADC 13.1-FIPS und 13.1-NDcPP

vor 13.1-37.279

13.1-37.279

13.1-37.282 oder neuer

Citrix-verwaltete Cloud-Dienste und die Citrix-verwaltete Adaptive Authentication aktualisiert der Hersteller selbst. Kundenbetriebene NetScaler-Instanzen, auch in Secure Private Access Hybrid, müssen die Betreiber selbst aktualisieren.

Die neun Schwachstellen im Überblick

Nicht jede Lücke betrifft jede Installation. Citrix nennt für jede Schwachstelle konkrete Konfigurationsvoraussetzungen. Für die beiden kritischsten Lücken sind diese Voraussetzungen jedoch in den meisten Gateway-Umgebungen erfüllt.

CVE

Art der Schwachstelle

Voraussetzung laut Citrix

CVSS 4.0

Ausnutzung bekannt

CVE-2026-88771

Codeausführung ohne Anmeldung (unzureichende Eingabeprüfung)

alle Installationen, auch Standardkonfiguration

9.5

ja

CVE-2026-88772

Speicherüberlauf, Codeausführung oder Dienstausfall

DTLS aktiv (Standard bei VPN-Servern)

9.5

ja

CVE-2026-88773

HTTP Request Smuggling

virtuelle Server vom Typ HTTP oder SSL

9.3

nicht berichtet

CVE-2026-88774

Umgehung von Richtlinien

Policy-Ausdrücke auf Basis von HTTP-URLs

7.0

nicht berichtet

CVE-2026-88775

Speicherüberlauf, Dienstausfall

Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder AAA-Server

8.8

nicht berichtet

CVE-2026-88776

Speicherüberlauf, Dienstausfall

Load-Balancing-Server vom Typ Oracle

8.8

nicht berichtet

CVE-2026-88777

Speicherüberlauf, Dienstausfall

LB/CS oder CGNAT/NAT64 mit Nicht-HTTP-Protokollen, etwa FTP, RTSP, DNS64

8.8

nicht berichtet

CVE-2026-88778

vorhersagbare TCP-Sequenznummern

TCP-basierte Server, „Enhanced ISN Generation“ deaktiviert

8.8

nicht berichtet

CVE-2026-88779

Speicherüberlauf, Dienstausfall

SAML Service Provider oder SAML Identity Provider

8.7

ja

Warum NetScaler-Systeme ein bevorzugtes Angriffsziel sind

Application Delivery Controller und Gateways stehen am Netzwerkrand. Sie regeln den Fernzugriff, die Anmeldung und den Datenverkehr zu internen Anwendungen. Wer ein solches System übernimmt, steht damit direkt vor dem Unternehmensnetz. Das BSI weist darauf hin, dass Schwachstellen in NetScaler-Systemen bereits in der Vergangenheit genutzt wurden, um in interne Netze einzudringen. Allein in Deutschland sind laut BSI mehrere Tausend Appliances von den aktuellen Lücken betroffen.

Die bisherigen Analysen bestätigen dieses Muster. Google Threat Intelligence Group und Mandiant beobachteten Webshells, ein Tunnel-Werkzeug für den Zugriff auf interne Systeme sowie den Diebstahl von Zugangsdaten. Betroffen waren laut Google Organisationen in Nordamerika und Europa, unter anderem aus Verwaltung, Finanzwesen, Technologie, Bildung und Rechtsberatung. Der Sicherheitsdienstleister eSentire dokumentierte in einem Fall, dass Angreifer über das kompromittierte Gateway auf interne virtuelle Desktops zugriffen.

Das BSI ordnet die aktuelle Welle zudem in eine grundsätzliche Entwicklung ein: Durch KI-gestützte Exploit-Entwicklung würden Patches immer schneller analysiert und in Angriffswerkzeuge übersetzt. Für das Patch-Management bedeutet das kürzere Reaktionszeiten. Perimetersysteme brauchen eingeübte Notfallprozesse, vorab abgestimmte Wartungsfenster und eine klare Verantwortung. Ein geplantes Notfall-Update ist kalkulierbar. Eine Wiederherstellung nach einer Kompromittierung ist es nicht, das BSI warnt ausdrücklich vor langfristigen Auswirkungen auf Geschäftsprozesse.

Handlungsempfehlungen in sechs Schritten

Die Reihenfolge ist bewusst gewählt. Erst wer den Bestand kennt, kann gezielt aktualisieren und prüfen.

1. Bestand erfassen. Ermitteln Sie alle NetScaler-Instanzen (MPX, SDX, VPX, auch in Secure Private Access Hybrid) mit Versionsstand. Prüfen Sie, welche Funktionen aktiv sind: Gateway, AAA, DTLS und SAML. Citrix nennt im Bulletin passende Konfigurationsmuster, etwa „add authentication samlAction“ für SAML Service Provider und „add authentication samlIdPProfile“ für SAML Identity Provider.
2. Aktualisieren. Spielen Sie 14.1-73.41 beziehungsweise 13.1-64.28 (FIPS/NDcPP entsprechend) oder neuer ein. Wer bereits auf 14.1-73.37 oder 13.1-64.23 aktualisiert hat und SAML nutzt, muss erneut aktualisieren. Das BSI rät, über die Bulletins hinausgehende Early-Access-Versionen vor dem Einsatz gründlich zu testen.
3. Konfiguration nachziehen. CVE-2026-88778 schließt das Update allein nicht. Citrix empfiehlt, die Option „Enhanced ISN Generation“ zu aktivieren. Den Status zeigt der Befehl „show ns tcpparam | grep "Enhanced ISN Generation"“.
4. Kompromittierung prüfen. Werten Sie die verfügbaren Logs laut BSI mindestens ab Anfang September 2026 aus. Citrix stellt Indicators of Compromise (IOCs) über die NetScaler Console bereit. Betreiber ohne Console erhalten sie direkt vom Citrix-Support. Citrix ergänzt die Liste laufend, ein regelmäßiger Abgleich ist daher sinnvoll. Weitere Erkennungsmerkmale und YARA-Regeln veröffentlichen unter anderem CERT-EU, Google Threat Intelligence Group, eSentire und Unit 42.
5. Bei Verdacht strukturiert vorgehen. Citrix beschreibt im Leitfaden CTX694799 das Vorgehen im Verdachtsfall. Die wichtigsten Punkte fasst der folgende Abschnitt zusammen.
6. Übergangsmaßnahmen nur als Brücke nutzen. Echte Workarounds gibt es laut BSI nicht, insbesondere nicht für CVE-2026-88771. Google nennt für CVE-2026-88772 als Überbrückung, DTLS zu deaktivieren und UDP/443 an einer vorgelagerten Firewall zu blockieren. Diese Maßnahmen schützen ausdrücklich nicht vor CVE-2026-88771. Das Update bleibt in jedem Fall erforderlich.

Vorgehen im Verdachtsfall laut Citrix-Leitfaden

Bestätigt sich ein Verdacht, zählt eine saubere Reihenfolge. Der Citrix-Leitfaden CTX694799 sieht diese Schritte vor:

1. Beweise sichern: Snapshot virtueller Instanzen (VPX), technisches Support-Bundle, Speicherabbild der Packet Engine sowie Logs von Syslog-Servern und NetScaler Console. Systemzeit, Zeitzone und NTP-Konfiguration dokumentieren.
2. Gerät isolieren: das betroffene System vom Netz trennen.
3. Zugangsdaten erneuern: alle auf dem NetScaler hinterlegten Secrets ändern, etwa LDAP-Servicekonten, RADIUS-Shared-Secrets, OAuth-Token, API-Schlüssel und SNMP-Community-Namen. Konten zurücksetzen, die sich über Gateway oder AAA angemeldet haben. Zertifikate und private Schlüssel widerrufen.
4. Verbundene Systeme untersuchen: insbesondere Authentifizierungsserver, sensible Systeme, Web-Server und Jump-Hosts.
5. Neu aufsetzen: Gerät zurücksetzen oder neu bereitstellen, aktuelle Firmware einspielen, ein Backup aus der Zeit vor der Kompromittierung wiederherstellen und die Secrets anschließend erneut rotieren.
6. Härten und überwachen: Hardening-Empfehlungen umsetzen und das System mindestens 90 Tage eng beobachten. Die Management-Dienste des NetScaler sollten laut Citrix nie aus dem Internet erreichbar sein.

Ist eine Einbindung von Strafverfolgungsbehörden absehbar, empfiehlt Citrix, vor dem Neuaufbau juristischen Rat einzuholen. Die Beweissicherung kann dann Vorrang vor der schnellen Wiederherstellung haben.

Woran sich eine Kompromittierung erkennen lässt

Die veröffentlichten Analysen beschreiben wiederkehrende Spuren. Die folgende Auswahl dient als Ausgangspunkt für die Prüfung. IP-Adressen und Datei-Hashes stellen die genannten Quellen tagesaktuell bereit.

Indikator

Fundort

Quelle

Base64-kodierte Befehle im User-Agent von HTTP-Anfragen, etwa an /logon/LogonPoint/tmindex.html oder an .ico-Dateien unter /vpn/media/

HTTP-Access-Logs

CERT-EU, eSentire

Anmeldeversuche mit Benutzernamen, die die Meldung „PPE missed too many heartbeats“ imitieren und Shell-Befehle enthalten

Authentifizierungs- und NetScaler-Logs

CERT-EU, eSentire

Unerwartete Änderungen an httpd.conf, etwa eine aktivierte PHP-Engine

Webserver-Konfiguration

CERT-EU, Google

Dateien mit Endung .sig oder PHP-haltige .deb-Dateien in /var/netscaler/gui/vpn/scripts/linux/

Dateisystem

eSentire

Weitere Webshell-Pfade, u. a. /var/vpn/theme/x.php, /var/vpn/themes/logon.php, /var/netscaler/logon/LogonPoint/.local_journal

Dateisystem

eSentire

HTTP-Header NSC_CLIENTTYPE mit Base64-Inhalt, dazu Antworten mit Status 404 bei ungewöhnlich großer Antwort

HTTP-Access-Logs

eSentire, Google

Gesetztes setuid-Bit auf /bin/sh

Dateisystem

eSentire, Google

Dateien /tmp/.uxdport und /tmp/.uxdlock (Tunnel-Werkzeug SLAPSHOT)

Verzeichnis /tmp

Google

Dauerhafte Anfragen an /logon/LogonPoint/Authentication/GetUserName

HTTP-Access-Logs

Unit 42

Lücken oder abgeschnittene Zeilen in Access-Logs rund um /vpn/scripts/ und /vpn/media/

HTTP-Access-Logs

Google

Da Angreifer lokale Logs manipulieren können, sind Daten von externen Syslog-Servern und aus der NetScaler Console besonders wertvoll.

Melde- und Dokumentationspflichten nach NIS-2 und DSGVO

Bestätigt sich eine Kompromittierung, können gesetzliche Meldepflichten greifen. Die Fristen beginnen mit der Kenntnis des Vorfalls.

• NIS-2 (§ 32 BSIG): Besonders wichtige und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK. Eine frühe Erstmeldung ist spätestens nach 24 Stunden fällig, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach.
• DSGVO (Art. 33 und 34): Gateways verarbeiten Anmeldedaten und Sitzungsinformationen. Sind personenbezogene Daten betroffen, ist die zuständige Aufsichtsbehörde in der Regel binnen 72 Stunden zu informieren. Bei hohem Risiko für die Betroffenen sind auch diese zu benachrichtigen.
• Geschäftsleitung (§ 38 BSIG): Geschäftsleitungen NIS-2-pflichtiger Einrichtungen billigen die Risikomanagementmaßnahmen und überwachen ihre Umsetzung. Ein nachvollziehbarer Umgang mit dieser Warnung gehört dazu.

Unabhängig vom Ergebnis empfiehlt sich eine saubere Dokumentation: Welche Systeme wurden wann geprüft und aktualisiert, mit welchem Befund? Diese Nachweise stärken die Governance und sind im Ernstfall die Grundlage für jede Meldung.

Häufige Fragen

Diese Fragen kommen in der aktuellen Lage am häufigsten auf.

Reicht es, das Update einzuspielen?

Das Update schließt die Lücken. Bereits installierte Webshells oder Konfigurationsänderungen bleiben laut BSI jedoch auch nach dem Patchen aktiv. Deshalb ist zusätzlich eine Kompromittierungsprüfung nötig, auch wenn sofort nach Erscheinen aktualisiert wurde.

Wir haben bereits auf 14.1-73.37 beziehungsweise 13.1-64.23 aktualisiert. Genügt das?

Diese Stände schließen CVE-2026-88771 bis CVE-2026-88778. Ist SAML als Service Provider oder Identity Provider konfiguriert, ist laut Citrix ein erneutes Update auf 14.1-73.41 beziehungsweise 13.1-64.28 nötig. Als einheitlicher Zielstand empfehlen sich diese Builds für alle Installationen.

Sind Citrix-Cloud-Dienste betroffen?

Citrix-verwaltete Cloud-Dienste und die Citrix-verwaltete Adaptive Authentication aktualisiert der Hersteller selbst. Kundenbetriebene NetScaler-Instanzen, auch in Secure Private Access Hybrid, liegen in der Verantwortung der Betreiber.

Gibt es einen Workaround?

Laut BSI gibt es keine Workarounds im eigentlichen Sinne. Für CVE-2026-88771 existieren keine Konfigurationen, die eine Ausnutzung verhindern. Übergangsmaßnahmen für CVE-2026-88772, etwa das Abschalten von DTLS, ersetzen das Update nicht.

Wie weit zurück sollten die Logs geprüft werden?

Das BSI empfiehlt, die Logs mindestens ab Anfang September 2026 zu prüfen. Nur so lassen sich Angriffe aus der Zeit vor der Veröffentlichung der Patches erkennen.

Müssen wir einen Vorfall melden?

Das hängt vom Befund und von der Einstufung des Unternehmens ab. NIS-2-pflichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle melden, die erste Frist beträgt 24 Stunden. Bei betroffenen personenbezogenen Daten kommt die DSGVO-Meldepflicht hinzu.

Quellen

Der Beitrag stützt sich auf die folgenden Primär- und Fachquellen:

• BSI: Citrix NetScaler, Systeme werden über ZeroDay-Schwachstellen angegriffen, Version 1.1 vom 01.10.2026
• Citrix Security Bulletin CTX697096 (CVE-2026-88771 bis CVE-2026-88778)
• Citrix Security Bulletin CTX697174 (CVE-2026-88779)
• Citrix CTX694799: Steps to Take if NetScaler ADC is Suspected to be Compromised
• CISA Known Exploited Vulnerabilities Catalog
• CERT-EU: Analyse zu CVE-2026-88771
• Google Threat Intelligence Group: Defending Against Active Exploitation of Citrix NetScaler
• eSentire: Ongoing Exploitation of Citrix NetScaler (CVE-2026-88771 & CVE-2026-88772)
• Unit 42: NetScaler Zero Days Exploited in the Wild

Unterstützung durch enthus

enthus unterstützt bei der Bestandsaufnahme Ihrer NetScaler-Instanzen, beim Update auf den empfohlenen Zielstand und bei der Prüfung auf eine bereits erfolgte Kompromittierung. Bestätigt sich ein Verdacht, begleiten wir Beweissicherung, Neuaufbau und die Dokumentation für NIS-2- und DSGVO-Meldungen.

Sprechen Sie uns an, wir prüfen mit Ihnen kurzfristig Versionsstand, SAML-Konfiguration und Logs Ihrer NetScaler-Systeme.

Jetzt Kontakt aufnehmen →

← Alle Beiträge