Citrix bestätigt aktive Angriffe auf zwei NetScaler-Zero-Days

Citrix hat bestätigt, dass Angreifer zwei NetScaler-Zero-Days ausnutzen, die eine Remote-Codeausführung ermöglichen. Das Unternehmen hat Sicherheitsupdates für betroffene NetScaler ADC- und NetScaler Gateway-Appliances veröffentlicht und fordert Administratoren auf, die Systeme schnellstmöglich zu aktualisieren.

Die Schwachstellen CVE-2026-88771 und CVE-2026-88772 haben jeweils einen Schweregrad von 9,5. Ihre Offenlegung folgt auf private Warnungen von Sicherheitsteams, IT-Anbietern und Cybersicherheitsbehörden am Wochenende.

Zwei kritische Schwachstellen ermöglichen Remote-Codeausführung

CVE-2026-88771 ist auf eine unzureichende Eingabevalidierung zurückzuführen. Die Schwachstelle ermöglicht es einem Angreifer, beliebige Befehle ohne Authentifizierung auszuführen.

Laut Citrix betrifft die Schwachstelle alle NetScaler ADC- und NetScaler Gateway-Installationen mit anfälligen Versionen, einschließlich Standardkonfigurationen. Sie erfordert keine zusätzlichen Funktionen.

CVE-2026-88772 betrifft unterdessen einen Speicherüberlauf, der zu Remote-Codeausführung oder einer Dienstverweigerung führen kann.

Angreifer können diese zweite Schwachstelle ausnutzen, wenn DTLS aktiviert ist. Citrix weist darauf hin, dass virtuelle VPN-Server DTLS standardmäßig aktivieren.

Das Unternehmen bestätigte, dass Angreifer beide Schwachstellen ausnutzten, bevor Patches verfügbar waren.

NetScaler-Zero-Days gefährden Geräte am Netzwerkrand

Unternehmen verwenden NetScaler-Appliances häufig für Fernzugriff und die Bereitstellung von Anwendungen. Diese Geräte sind oft mit dem Internet verbunden und ermöglichen Verbindungen zu internen Unternehmensressourcen.

Daher kann eine kompromittierte Appliance Angreifern einen ersten Zugangspunkt am Netzwerkrand verschaffen. Sie kann außerdem einen Weg zu internen Systemen eröffnen.

Bevor Citrix seine Sicherheitswarnung veröffentlichte, berichteten Administratoren von dringenden Anrufen von Lieferanten und Sicherheitsteams. Einige erklärten, dass diese Kontakte ihnen geraten hätten, ihre NetScaler-Appliances sofort herunterzufahren.

Das Sicherheitsunternehmen watchTowr veröffentlichte anschließend eine öffentliche Warnung, nachdem es Berichte über mehrere ungepatchte Schwachstellen mit Quellen überprüft hatte, die es als maßgeblich einstufte.

Citrix nennt betroffene Versionen und Sicherheitsupdates

Das Sicherheitsbulletin von Citrix nennt die folgenden betroffenen Versionen:

• NetScaler ADC und NetScaler Gateway 14.1 vor 14.1-73.37.
• NetScaler ADC und NetScaler Gateway 13.1 vor 13.1-64.23.
• NetScaler ADC FIPS vor 14.1-73.37 FIPS.
• NetScaler ADC FIPS und NDcPP vor 13.1-37.279.

Secure Private Access Hybrid-Installationen, die NetScaler-Instanzen verwenden, müssen ebenfalls auf die empfohlenen Builds aktualisiert werden.

Das Bulletin gilt für Appliances, die von Kunden selbst verwaltet werden. Unterdessen aktualisiert Cloud Software Group die von Citrix verwalteten Cloud-Dienste und Adaptive Authentication.

Zusätzlich zu den beiden aktiv ausgenutzten Schwachstellen beheben die Updates sechs weitere Sicherheitslücken.

Niederländische Behörde soll vorab gewarnt haben

Kopien einer online verbreiteten Mitteilung deuten darauf hin, dass das niederländische National Cyber Security Center Organisationen bereits vor der öffentlichen Bekanntgabe durch Citrix warnte.

Laut dieser Mitteilung lieferte ein europäisches Partner-CERT Informationen über zwei kritische Schwachstellen. Jede von ihnen konnte unabhängig eine Remote-Codeausführung ermöglichen.

In der Mitteilung hieß es außerdem, Citrix habe die Schwachstellen bei der Untersuchung von Vorfällen entdeckt, die Kunden betrafen. Sie beschrieb eine Ausnutzung bei mehreren Kundenorganisationen weltweit, wobei das Ausmaß der Angriffe unklar blieb.

Die niederländische Behörde wollte die Echtheit der verbreiteten Mitteilung jedoch nicht bestätigen, als BleepingComputer sie kontaktierte. Sie erklärte, außerhalb ihres Zuständigkeitsbereichs keine weiteren Informationen bereitstellen zu können.

Administratoren sollen schnellstmöglich aktualisieren

Da die Patches nun verfügbar sind, sollten Administratoren betroffene Appliances so schnell wie möglich aktualisieren.

Organisationen, die die Updates nicht sofort installieren können, sollten die Internetexposition nach Möglichkeit reduzieren, bis sie die Patches einspielen können.

Die Vorabwarnungen wiesen auf mögliche Ausfallzeiten während des Upgrades hin. Daher sollten sich betroffene Teams auf Dienstunterbrechungen vorbereiten und gleichzeitig die Sicherheitsupdates priorisieren.