Citrix hat Administratoren aufgefordert, umgehend Sicherheitsupdates für eine kritische RCE-Schwachstelle in NetScaler zu installieren, die NetScaler ADC und NetScaler Gateway betrifft. Die Sicherheitslücke könnte es Angreifern ermöglichen, Code aus der Ferne auszuführen oder betroffene Geräte zum Absturz zu bringen.
Die unter CVE-2026-107406 registrierte Schwachstelle geht auf einen Speicherüberlauffehler zurück. Allerdings hängt die Gefährdung von der Konfiguration ab: Geräte müssen als SAML-Identitätsanbieter oder Dienstanbieter betrieben werden, um anfällig zu sein.
Zum Zeitpunkt der Veröffentlichung seines Sicherheitsbulletins erklärte Citrix, dass dem Unternehmen keine nicht durch Schutzmaßnahmen eingedämmten Angriffe bekannt seien, bei denen die Schwachstelle ausgenutzt wurde.
SAML-Konfiguration entscheidet über die Gefährdung
NetScaler ADC verwaltet den Anwendungsdatenverkehr, während NetScaler Gateway einen sicheren Fernzugriff auf Unternehmensressourcen ermöglicht.
Die neue Schwachstelle betrifft Installationen, die für die Authentifizierung über Security Assertion Markup Language (SAML) konfiguriert sind und dabei entweder als Identitätsanbieter oder als Dienstanbieter fungieren.
Ein Identitätsanbieter authentifiziert Benutzer, während sich ein Dienstanbieter auf die entsprechenden Authentifizierungsbestätigungen verlässt, um Zugriff zu gewähren.
Administratoren müssen daher sowohl die installierte Softwareversion als auch die Gerätekonfiguration überprüfen, wenn sie die Gefährdung beurteilen.
Eine erfolgreiche Ausnutzung könnte zur Ausführung von Code aus der Ferne führen. Alternativ könnten Angreifer einen Denial-of-Service-Zustand auslösen, der die Verfügbarkeit durch Geräteabstürze beeinträchtigt.
Citrix nennt korrigierte NetScaler-Versionen
Citrix empfiehlt, betroffene Geräte auf die entsprechende korrigierte Version ihres jeweiligen Softwarezweigs zu aktualisieren.
| Produkt oder Versionszweig | Korrigierte Version |
|---|---|
| NetScaler ADC und Gateway 14.1 | 14.1-73.46 oder neuer |
| NetScaler ADC und Gateway 13.1 | 13.1-64.29 oder neuer innerhalb von 13.1 |
| NetScaler ADC 14.1-FIPS | 14.1-73.46 FIPS oder neuer innerhalb von 14.1-FIPS |
| NetScaler ADC 13.1-FIPS und 13.1-NDcPP | 13.1.37.283 oder neuer innerhalb des jeweiligen Versionszweigs |
Das Unternehmen hat betroffene Kunden aufgefordert, die Sicherheitshinweise zu prüfen und die empfohlenen Updates so schnell wie möglich zu installieren.
Obwohl Citrix keine Hinweise auf eine aktive Ausnutzung gemeldet hat, stuft das Unternehmen die Behebung der RCE-Schwachstelle in NetScaler als dringende Priorität ein.
Internetexposition belegt nicht die Anzahl anfälliger Systeme
Shadowserver erfasst mehr als 21.000 über das Internet erreichbare IP-Adressen, die charakteristische Merkmale von NetScaler aufweisen.
Diese Beobachtungen umfassen etwas mehr als 1.500 Gateway-Instanzen und fast 20.000 NetScaler-ADC-Geräte.
Allerdings stellen diese Zahlen keine bestätigte Anzahl anfälliger Systeme dar. Einige Geräte könnten bereits aktualisiert worden sein, nicht über die erforderliche SAML-Konfiguration verfügen oder als Honeypots betrieben werden.
Die verfügbaren Daten zeigen somit die Internetexposition der Plattform, ohne zu belegen, wie viele Installationen tatsächlich durch diese spezifische Schwachstelle gefährdet sind.
Frühere NetScaler-Schwachstellen haben Angreifer angezogen
Die Warnung folgt auf mehrere Sicherheitsvorfälle im Zusammenhang mit NetScaler im Jahr 2026.
Im März forderte Citrix seine Kunden auf, CVE-2026-3055 und CVE-2026-4368 zu beheben. Nur wenige Tage später begannen Angreifer, diese Schwachstellen auszunutzen.
Im September veröffentlichte das Unternehmen anschließend Sicherheitskorrekturen für zwei aktiv ausgenutzte Zero-Day-Schwachstellen zur Ausführung von Code aus der Ferne, CVE-2026-88771 und CVE-2026-88772.
Bei diesen Angriffen kamen speziell entwickelte Webshells und Tunneling-Malware zum Einsatz. Sie ermöglichten außerdem den Diebstahl von Zugangsdaten, Root-Zugriff und die weitere Ausbreitung innerhalb der internen Netzwerke der Opfer.
Anfang Oktober veröffentlichte Citrix Notfallupdates für CVE-2026-88779, die zunächst als Denial-of-Service-Zero-Day-Schwachstelle beschrieben wurde. Forscher und Administratoren berichteten später, dass Angreifer sie auch zur Ausführung von Code aus der Ferne nutzen könnten.
Diese früheren Vorfälle betreffen separate Schwachstellen und belegen nicht, dass CVE-2026-107406 ausgenutzt wurde.
Frühere Angriffe erhöhen die Dringlichkeit von Updates
Seit November 2021 hat CISA 27 Citrix-Schwachstellen in seinen Katalog bekannter aktiv ausgenutzter Sicherheitslücken, den Known Exploited Vulnerabilities Catalog, aufgenommen. Sieben davon stehen im Zusammenhang mit Ransomware-Angriffen.
Diese Vorgeschichte unterstreicht, wie wichtig es ist, exponierte NetScaler-Systeme zeitnah abzusichern.
Für die neu bekannt gewordene Schwachstelle empfiehlt Citrix, betroffene SAML-Installationen zu identifizieren und auf eine korrigierte Version zu aktualisieren.
0 Kommentare zu „Kritische RCE-Schwachstelle in NetScaler: Citrix warnt und fordert dringende Sicherheitsupdates“