Citrix bestätigte die Ausnutzung zweier Zero-Day-Schwachstellen in NetScaler ADC- und NetScaler-Gateway-Geräten, nachdem am Wochenende spezielle Warnungen an Organisationen und Sicherheitsteams versandt worden waren. Das Unternehmen veröffentlichte das Sicherheitsbulletin CTX697096 sowie Updates, die die beiden Schwachstellen und sechs weitere Schwachstellen beheben, sodass die Gesamtzahl der mit dem Update behobenen Fehler acht beträgt.
Zwei Schwachstellen mit einem Schweregrad von 9,5
Die erste Schwachstelle, CVE-2026-88771, weist einen Schweregrad von 9,5 auf und entsteht durch eine unzureichende Eingabevalidierung. Ein nicht authentifizierter Angreifer kann sie zur Ausführung beliebiger Befehle aus der Ferne ausnutzen. Citrix zufolge betrifft die Schwachstelle alle Bereitstellungen von NetScaler ADC und NetScaler Gateway, einschließlich der Standardkonfigurationen, und erfordert keine Aktivierung einer zusätzlichen Funktion.
Bei CVE-2026-88772 handelt es sich um eine Schwachstelle durch Speicherüberlauf mit einem Schweregrad von 9,5, die zur Ausführung von Befehlen aus der Ferne oder zu einer Dienstblockade führen kann. Für ihre Ausnutzung muss DTLS auf dem Gerät aktiviert sein; DTLS ist auf virtuellen VPN-Servern standardmäßig aktiviert.
Betroffene Versionen
Zu den betroffenen Versionen gehören NetScaler ADC und NetScaler Gateway 14.1 vor Version 14.1-73.37 sowie Version 13.1 vor 13.1-64.23. Die Liste umfasst außerdem NetScaler ADC FIPS vor 14.1-73.37 FIPS sowie NetScaler ADC FIPS und NDcPP vor 13.1-37.279. Ebenfalls betroffen sind Secure Private Access Hybrid-Bereitstellungen, die NetScaler-Instanzen verwenden; sie müssen auf die empfohlenen Versionen aktualisiert werden.
Die Meldung gilt für NetScaler ADC- und NetScaler-Gateway-Geräte, die von Kunden verwaltet werden. Für von Citrix verwaltete Cloud-Dienste, einschließlich Citrix-managed Adaptive Authentication, übernimmt Cloud Software Group das Upgrade.
Was ändert die offizielle Bestätigung?
NetScaler-Geräte fungieren häufig als dem Internet ausgesetzte Zugangspunkte, um Fernzugriff bereitzustellen und Anwendungen an interne Netzwerke zu übermitteln. Ein erfolgreicher Angriff kann dem Angreifer daher einen Fuß in die Tür an der Netzwerkgrenze verschaffen, ohne dass zunächst ein internes Endgerät kompromittiert werden muss. Citrix bestätigt, dass die Ausnutzung der beiden Schwachstellen in Bereitstellungen beobachtet wurde, für die keine Maßnahmen zur Risikominderung oder Behebung ergriffen worden waren.
Anbieter, Sicherheitsteams und nationale Behörden hatten einige Organisationen aufgefordert, NetScaler-Geräte abzuschalten, während das Unternehmen watchTowr vor der Verbreitung zuverlässiger Informationen über die Ausnutzung ungepatchter Schwachstellen zur Remotecodeausführung warnte. Außerdem ging aus einer dem Nationalen Zentrum für Cybersicherheit in den Niederlanden zugeschriebenen Mitteilung hervor, dass die Ausnutzung bei mehreren Citrix-Kunden weltweit beobachtet wurde; das Ausmaß der Angriffe wurde jedoch nicht näher bestimmt.
Was Verantwortliche überprüfen sollten
Organisationen sollten betroffene NetScaler-Geräte so schnell wie möglich auf die korrigierten Versionen aktualisieren. Falls das Update nicht sofort durchgeführt werden kann, empfiehlt der Artikel, die Internetpräsenz, soweit es die betrieblichen Anforderungen zulassen, bis zur Installation der Patches zu reduzieren. Der Zeitpunkt der Umsetzung bleibt wichtig, da NetScaler-Upgrades zu betrieblichen Unterbrechungen führen können und die Veröffentlichung technischer Details und Updates die Zahl der Ausnutzungsversuche erhöhen könnte.