NetScaler ADC und Gateway: Zwei aktiv ausgenutzte Zero-Days, jetzt prüfen und patchen

Citrix hat am 27. September 2026 mit dem Sicherheitsbulletin CTX697096 acht Schwachstellen in NetScaler ADC und NetScaler Gateway geschlossen. Zwei davon, CVE-2026-88771 und CVE-2026-88772, nutzen Angreifer bereits aus, und zwar schon bevor es einen Patch gab. Wer NetScaler selbst betreibt, sollte heute handeln: erst Beweise sichern, dann aktualisieren.

Das Wichtigste in Kürze

Die Lage in fünf Punkten, bevor die Details folgen.

• Kritisch: CVE-2026-88771 und CVE-2026-88772, beide mit CVSS 4.0: 9,5 bewertet, werden aktiv ausgenutzt.
• Betroffen: selbst betriebene NetScaler ADC und Gateway 14.1 und 13.1 unterhalb der korrigierten Builds, FIPS- und NDcPP-Varianten sowie Secure Private Access Hybrid.
• Lösung: Update auf 14.1-73.37 bzw. 13.1-64.23 oder neuer. Einen Workaround gibt es nicht.
• Reihenfolge: erst Beweise sichern und auf Kompromittierung prüfen, dann aktualisieren.
• Achtung: Das NetScaler-Update aus dem September schützt nicht vor den neuen Lücken.

Zwei Lücken, ein Einfallstor

CVE-2026-88771 beruht auf einer unzureichenden Prüfung von Eingaben. Ein Angreifer kann darüber ohne Anmeldung beliebige Befehle auf der Appliance ausführen. Dafür muss keine besondere Funktion aktiv sein. Laut Citrix ist jede NetScaler-Installation auf einem betroffenen Build angreifbar, auch in der Standardkonfiguration.

CVE-2026-88772 ist ein Speicherüberlauf. Er kann zur Ausführung von Schadcode oder zum Ausfall der Appliance führen. Voraussetzung ist aktiviertes DTLS. DTLS ist die UDP-Variante von TLS und sorgt für schnellere VPN-Verbindungen. Auf VPN-vServern ist DTLS eingeschaltet, solange es nicht ausdrücklich deaktiviert wurde. Das Abschalten von DTLS ist dennoch kein Ersatz für das Update, denn CVE-2026-88771 bleibt davon unberührt.

Citrix bewertet beide Lücken nach CVSS 4.0 mit 9,5 und damit als kritisch. Der Hersteller bestätigt Angriffe auf nicht aktualisierte Systeme. Die US-Cybersicherheitsbehörde CISA hat beide Kennungen am 27. September in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Nach Angaben der CISA werden die Lücken weltweit ausgenutzt. Berichten zufolge hatte das niederländische Nationale Cyber Security Centrum Organisationen bereits vor der Veröffentlichung gewarnt.

Warum Systeme am Netzrand so begehrt sind

NetScaler steht am Rand des Unternehmensnetzes. Die Appliance regelt Remote-Zugriff, Anmeldung und die Auslieferung von Anwendungen. Viele Mittelständler stellen darüber virtuelle Arbeitsplätze, VPN und Webanwendungen bereit. Sie ist aus dem Internet erreichbar und verarbeitet Zugangsdaten, Zertifikate und Sitzungen. Wer sie übernimmt, steht direkt im internen Netz.

Das gilt für Edge-Systeme aller Hersteller. Gerade weil sie so zentral sind, gehören sie ganz nach oben in jedes Patch- und Schwachstellenmanagement. Citrix hat die Korrekturen zügig bereitgestellt und liefert Werkzeuge zur Prüfung auf Kompromittierung gleich mit. Entscheidend ist jetzt, dass Betreiber sie ebenso zügig einsetzen.

Wer betroffen ist

Das Bulletin gilt für alle selbst verwalteten NetScaler ADC und NetScaler Gateway der folgenden Versionen:

Produktlinie

Betroffen

Korrigiert ab

NetScaler ADC und Gateway 14.1

vor 14.1-73.37

14.1-73.37

NetScaler ADC und Gateway 13.1

vor 13.1-64.23

13.1-64.23

NetScaler ADC 14.1-FIPS

vor 14.1-73.37 FIPS

14.1-73.37 FIPS

NetScaler ADC 13.1-FIPS und 13.1-NDcPP

vor 13.1-37.279

13.1-37.279

Auch Secure Private Access Hybrid ist betroffen, sofern dabei NetScaler-Instanzen im Einsatz sind. Diese Instanzen müssen ebenfalls aktualisiert werden. Von Citrix verwaltete Cloud-Dienste und die von Citrix verwaltete Adaptive Authentication aktualisiert der Hersteller selbst.

Wichtig: Das Update aus dem September-Bulletin CTX696939 reicht nicht aus. Dessen Builds 14.1-73.32 und 13.1-63.21 liegen unter den neuen Korrekturständen. Für Versionen außerhalb des Supports wie 12.1 oder 13.0 gibt es keine Updates. Hier führt der Weg über den Wechsel auf eine unterstützte Version.

Sechs weitere Lücken im selben Bulletin

Neben den beiden Zero-Days behebt CTX697096 sechs weitere Schwachstellen. Dazu zählen HTTP Request Smuggling (CVSS 4.0: 9,3), eine Umgehung von Richtlinien (7,0), drei Speicherüberläufe, die zu Fehlverhalten oder Ausfällen führen können (je 8,8), sowie vorhersagbare TCP-Sequenznummern (8,8). Für diese Lücken gibt es bislang keine Berichte über Angriffe. Sie greifen nur bei bestimmten Konfigurationen, etwa bei Gateway- und AAA-vServern, bei HTTP- und SSL-vServern oder bei FTP- und NAT64-Funktionen.

Fünf dieser sechs Lücken schließt das Update direkt. Bei CVE-2026-88778 verlangt Citrix zusätzlich eine TCP-Einstellung: die „Enhanced ISN Generation“. Ob sie aktiv ist, zeigt der Befehl show ns tcpparam. Steht dort „Enhanced ISN Generation: DISABLED“ und laufen TCP-basierte vServer, sollte die Einstellung nach der Anleitung von NetScaler aktiviert werden.

In dieser Reihenfolge vorgehen

Das Update schließt die Lücken. Ob eine Appliance bereits angegriffen wurde, klärt es aber nicht. Es kann sogar Spuren eines Angriffs beseitigen. Deshalb gilt: erst sichern und prüfen, dann aktualisieren. Mit einem klaren Ablauf lässt sich das in einem Wartungsfenster sauber erledigen.

1. Bestand erfassen. Alle NetScaler-Instanzen auflisten, auch HA-Partner, virtuelle VPX-Instanzen, SDX-Plattformen, Testsysteme und Secure-Private-Access-Hybrid-Instanzen. Den aktuellen Build zeigt der Befehl show ns version.
2. Beweise sichern. Lokale Logs, Syslog-Daten und die Protokolle aus NetScaler Console sichern. Systemzeit, Zeitzone und NTP-Einstellungen dokumentieren. Bei virtuellen Instanzen einen Snapshot anlegen. Zusätzlich ein Support-Bundle und einen Core-Dump der Packet Engine erzeugen. Der Core-Dump löst einen Warmstart aus und sollte eingeplant werden.
3. Auf Kompromittierung prüfen. Citrix stellt Indikatoren über die Security-Advisory-Seite in NetScaler Console bereit, alternativ über den Citrix Support. Ein unauffälliges Ergebnis ist ein gutes Zeichen, aber kein vollständiger Beweis. Auffälligkeiten in Logs und Konfiguration sollten deshalb zusätzlich bewertet werden.
4. Update einspielen. Jede Instanz auf den korrigierten Build ihrer Produktlinie bringen, HA-Paare nacheinander. Danach die Version erneut prüfen und bei Bedarf die Enhanced ISN Generation aktivieren.
5. Nachbereiten. Bei Befund oder begründetem Verdacht die Appliance isolieren. Passwörter und Secrets auf den angebundenen Systemen erneuern, etwa für LDAP-Dienstkonten, RADIUS, OAuth-Tokens, API-Schlüssel und SNMP. Zertifikate auf der Appliance widerrufen und ersetzen. Verbundene Systeme wie Authentifizierungsserver und Jump-Hosts prüfen. Citrix empfiehlt in diesem Fall den Neuaufbau aus einer sauberen Sicherung und eine enge Beobachtung über mindestens 90 Tage.

Unabhängig vom Ergebnis gilt: Die Management-Oberflächen von NetScaler gehören nicht ins öffentliche Internet. Und NetScaler-Logs sollten dauerhaft in ein zentrales SIEM fließen. So lassen sich Auffälligkeiten auch künftig früh erkennen.

Meldepflichten mitdenken

Ein erfolgreicher Angriff auf NetScaler ist schnell mehr als ein technisches Problem. Unternehmen und Einrichtungen, die unter NIS-2 fallen, müssen einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden als Frühwarnung an das BSI melden. Sind personenbezogene Daten betroffen, gilt nach der DSGVO zusätzlich eine Frist von 72 Stunden gegenüber der Datenschutzaufsicht. Beides setzt belastbare Befunde voraus. Die Beweissicherung vor dem Update ist deshalb nicht nur forensisch sinnvoll. Sie schafft auch die Grundlage für eine fristgerechte und fundierte Meldung.

Aus dem Notfall einen Standard machen

Die aktuelle Lage zeigt, wie viel ein eingespielter Ablauf wert ist. Wer seine Edge-Systeme kennt, Logs zentral vorhält und Wartungsfenster für HA-Umgebungen vorbereitet hat, patcht schnell und ohne Hektik. Das senkt das Risiko und hält den Aufwand planbar. Ein vorbereitetes Wartungsfenster ist in aller Regel deutlich günstiger als die Aufarbeitung eines Vorfalls.

Unterstützung durch enthus

enthus unterstützt bei der Prüfung, dem Update und der Nachbereitung von NetScaler-Umgebungen. Das umfasst die Bestandsaufnahme, die Sicherung von Logs und Systemzustand, die Prüfung auf Kompromittierung und das Update im laufenden Betrieb, mit möglichst wenig Unterbrechung für die Anwender. Auf Wunsch wird daraus ein fester Prozess für alle Systeme am Netzrand.

Sprechen Sie uns an: Wir prüfen Ihre NetScaler-Instanzen auf Kompromittierung und spielen die korrigierten Builds mit Ihnen im nächsten Wartungsfenster ein.

Jetzt Kontakt aufnehmen →

← Alle Beiträge