Citrix behebt NetScaler-Zero-Day, während Angriffe SAML-Bereitstellungen beeinträchtigen

Citrix hat Notfall-Updates für eine NetScaler-Zero-Day-Schwachstelle veröffentlicht, die Angreifer gegen Appliances mit SAML-Authentifizierung ausgenutzt haben. Die als CVE-2026-88779 verfolgte Schwachstelle kann betroffene Systeme zum Absturz bringen und den Zugriff auf Dienste unterbrechen.

Der Fehler im Speicherpuffer betrifft NetScaler-ADC- und NetScaler-Gateway-Bereitstellungen, die SAML-Authentifizierung mit Gateway- oder AAA-Funktionalität verwenden. Er hat einen CVSS-Schweregrad von 8,7.

Unterdessen untersuchen Forscher Hinweise auf eine mögliche Remote-Code-Ausführung. Citrix hat Denial-of-Service-Angriffe bestätigt, doch die weiterreichenden Auswirkungen werden noch untersucht.

Wiederholte Angriffe können Dienste offline halten

Laut Citrix haben Angreifer Bereitstellungen ins Visier genommen, die nicht gegen die Schwachstelle geschützt sind. Eine wiederholte Ausnutzung kann dazu führen, dass betroffene Dienste nicht verfügbar bleiben.

Das Unternehmen gibt an, dass seine Analyse ein Verfügbarkeitsproblem festgestellt hat, ohne Auswirkungen auf die Integrität von Kundendaten zu finden. Diese Einschätzung klärt jedoch nicht die separaten Bedenken der Forscher hinsichtlich einer möglichen Code-Ausführung.

Administratoren meldeten zunächst unerwartete Neustarts bei Appliances, die bereits die vorherigen Sicherheitsupdates erhalten hatten. Einige berichteten von ähnlichen Ausfällen, selbst nachdem sie die Systeme mit neuen Images neu aufgebaut hatten.

Mehrere Berichte identifizierten wiederholte Abstürze des Authentifizierungsprozesses nsaaad. Schließlich erreichte der NetScaler-Überwachungsprozess Pitboss sein Neustartlimit und startete die Appliance neu.

Neue Updates ersetzen frühere Sicherheitskorrekturen

Citrix veröffentlichte die folgenden Versionen, um die NetScaler-Zero-Day-Schwachstelle zu beheben:

• NetScaler ADC und Gateway 14.1: 14.1-73.41
• NetScaler ADC und Gateway 13.1: 13.1-64.28
• NetScaler 14.1 FIPS-Bereitstellungen: 14.1-73.41 FIPS
• NetScaler ADC 13.1 FIPS- und NDcPP-Bereitstellungen: 13.1-37.282

Organisationen, die frühere Updates installiert haben, müssen erneut aktualisieren, wenn ihre Bereitstellungen die Anforderungen der betroffenen Konfiguration erfüllen.

Administratoren können nach SAML-Service-Provider-Konfigurationen suchen, die add authentication samlAction enthalten. Alternativ können SAML-Identity-Provider-Konfigurationen add authentication samlIdPProfile enthalten.

Citrix bietet außerdem Global Deny Lists an, um bekannte bösartige IP-Adressen zu blockieren. Dennoch empfiehlt das Unternehmen, die neuen Updates so schnell wie möglich zu installieren.

Forscher untersuchen mögliche Code-Ausführung

Ein Administrator, der die Abstürze untersuchte, entdeckte manipulierte Benutzernamen für die Authentifizierung, die Befehle zum Herunterladen und Ausführen einer externen Payload enthielten.

Diese Anfragen erschienen unmittelbar vor drei bestätigten Absturzsequenzen des Authentifizierungsprozesses. Sie zielten außerdem auf mehrere SAML-Authentifizierungsfaktoren ab.

Der Administrator betonte jedoch, dass die Protokolle lediglich versuchte Ausnutzungen und die damit verbundenen Abstürze belegten. Sie zeigten nicht, dass die Appliance die Befehle erfolgreich ausgeführt hatte.

Unabhängig davon berichtete der Sicherheitsforscher Kevin Beaumont über Abstürze auf gepatchten NetScaler-13.1- und 14.1-Honeypots, die Anfragen von mehreren IP-Adressen erhielten. Später erklärte er, dass auf einem Honeypot eine heruntergeladene Malware-Binärdatei ausgeführt wurde.

Diese Beobachtung weckt Bedenken hinsichtlich Auswirkungen, die über Dienstunterbrechungen hinausgehen. Die verfügbaren Berichte belegen jedoch nicht eindeutig, ob CVE-2026-88779 allein die gemeldete Ausführung der Malware ermöglicht hat.

Unterdessen gibt watchTowr Labs an, die Schwachstelle nach der Untersuchung von Honeypot-Aktivitäten reproduziert zu haben. Das Unternehmen hat keine technischen Details veröffentlicht.

CISA setzt den 7. Oktober als Frist für Gegenmaßnahmen

CISA nahm CVE-2026-88779 am 4. Oktober in seinen Katalog der Known Exploited Vulnerabilities auf. Die Behörde setzte für zivile Bundesbehörden der Exekutive den 7. Oktober als Frist für Gegenmaßnahmen fest.

Die Aufnahme in den Katalog unterstreicht die Dringlichkeit, die Schwachstelle zu beheben. Für betroffene Organisationen besteht der entscheidende Unterschied darin, dass frühere NetScaler-Patches diese neu bekannt gewordene Schwachstelle nicht abdecken.

Die aktuelle Empfehlung von Citrix sieht für Bereitstellungen, die die Anforderungen der SAML-Konfiguration erfüllen, ein weiteres Upgrade vor.