Citrix hat Kunden aufgefordert, NetScaler-Geräte umgehend abzusichern, nachdem zwei Schwachstellen in den sicheren Remotezugriffslösungen NetScaler Gateway und den Netzwerkgeräten NetScaler ADC bekannt geworden sind. Die größte Gefahr besteht darin, dass eine der Schwachstellen es entfernten Angreifern ohne Berechtigungen ermöglichen könnte, die Authentifizierung zu umgehen, während die zweite für Denial-of-Service-Angriffe ausgenutzt werden könnte.
Umgehung der Authentifizierung unter bestimmten Konfigurationsbedingungen
Die schwerwiegendere Schwachstelle trägt die Kennung CVE-2026-19490 und kann von nicht authentifizierten Angreifern ausgenutzt werden, um die Authentifizierung zu umgehen, wenn das Gerät als AAA-Typ-Virtual-Server oder als Gateway konfiguriert ist. Zu den genannten Gateway-Fällen gehören SSL VPN, ICA Proxy, CVPN und RDP Proxy.
Ob ein Gerät betroffen ist, hängt von der Firmwareversion und davon ab, ob die SAML-Action-Konfiguration aktiviert ist. Administratoren können prüfen, ob die mit der Schwachstelle verbundenen Bedingungen vorliegen, indem sie die NetScaler-Konfiguration überprüfen und nach den folgenden Zeichenfolgen suchen:
- add authentication samlAction .*
- add authentication vserver .*
- add vpn vserver .*
Eine weitere Schwachstelle kann zu einem Dienstausfall führen
Die zweite Schwachstelle mit der Kennung CVE-2026-19489, die Citrix als hochriskant einstuft, ist ein Fehler bei der Überschreitung von Speichergrenzen. Entfernte Angreifer ohne Authentifizierung können sie für Denial-of-Service-Angriffe ausnutzen, wenn die Funktion SIP ALG, also ein Application-Level-Gateway für das Session Initiation Protocol, innerhalb einer Konfiguration für eine groß angelegte NAT-Gruppe aktiviert ist.
Um festzustellen, ob die Gerätekonfigurationen die Voraussetzungen für eine Ausnutzung erfüllen, sollten Sicherheitsteams die Konfiguration auf die Zeichenfolge add lsn group.*sipalg.* überprüfen.
Von Citrix empfohlene Versionen
Das Unternehmen empfahl, betroffene NetScaler-ADC- und NetScaler-Gateway-Geräte je nach Bereitstellungstyp auf eine der folgenden Versionen oder eine neuere Version zu aktualisieren:
- NetScaler ADC und NetScaler Gateway 14.1-73.32 oder neuer.
- NetScaler ADC und NetScaler Gateway 13.1-63.21 oder neuer.
- NetScaler ADC FIPS 14.1-73.32 FIPS oder neuer.
- NetScaler ADC FIPS und NDcPP 13.1-37.277 oder neuer.
Die Warnung umfasst unterstützte Versionen von NetScaler ADC und NetScaler Gateway, die von Kunden verwaltet werden, darunter einige FIPS- und NDcPP-Versionen. Auch Bereitstellungen von SecurAccess ZTNA Hybrid, früher bekannt als Secure Private Access Hybrid, sind betroffen, wenn sie von Kunden verwaltete NetScaler-Instanzen verwenden.
Warum ist diese Warnung wichtig?
Citrix hat die beiden Schwachstellen bislang nicht als in realen Angriffen ausgenutzt eingestuft, doch die Historie früherer Schwachstellen zeigt, warum eine Aktualisierung dringend ist. Am 23. März forderte das Unternehmen Administratoren auf, die beiden Schwachstellen CVE-2026-3055 und CVE-2026-4368 zu beheben, bevor Angreifer sie wenige Tage später tatsächlich auszunutzen begannen. Die CISA nahm CVE-2026-3055 später, am 30. März, in ihren Katalog bekannter, ausgenutzter Schwachstellen auf und wies Bundesbehörden an, betroffene Citrix-Geräte innerhalb von drei Tagen abzusichern.
In den vergangenen fünf Jahren hat die US-amerikanische Cybersecurity and Infrastructure Security Agency 22 Schwachstellen in Citrix-Produkten erfasst, von denen sie angab, dass sie in realen Angriffen ausgenutzt wurden; sechs davon wurden auch bei Ransomware-Angriffen eingesetzt. Die Organisation ShadowServer beobachtet derzeit mehr als 22.000 im Internet exponierte NetScaler-ADC-Instanzen und etwa 1.800 exponierte NetScaler-Gateway-Instanzen, ohne anzugeben, wie viele Geräte über die beiden neuen Schwachstellen möglicherweise ausnutzbar sind.