Angreifer können Citrix NetScaler ADC und NetScaler Gateway lahmlegen

Angreifer können an mehrere Schwachstellen in Citrix NetScaler ADC und NetScaler Gateway ansetzen und Instanzen unter anderem abstürzen lassen. Insgesamt gelten neun der 28 Lücken als „kritisch“. Sicherheitspatches stehen zum Download bereit.

Als besonders gefährlich eingestuft

Wie aus einer Warnmeldung hervorgeht, betrifft eine „kritische“ Schwachstelle (CVE-2026-120868) beide Produkte in der Standardkonfiguration. Der Fehler steckt in der Paketverarbeitung. Ein Speicherfehler kann zu unvorhersehbarem Verhalten oder DoS-Zuständen führen.

Damit Angreifer die verbleibenden Lücken ausnutzen können, müssen NetScaler ADC und NetScaler Gateway jeweils bestimmte Konfigurationen aufweisen. So müssen für weitere DoS-Attacken etwa DNS-Load-Balancing per DNS-over-HTTPS (CVE-2026-107409 „kritisch“) oder DNS-Load-Balancing mit rekursiver DNS-Auflösung (CVE-2026-107408 „kritisch“) aktiv sein.

Als am gefährlichsten gilt CVE-2026-107412 („kritisch“, CVSS 9.5). Für eine Ausnutzung muss NetScaler als Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder als AAA-Virtual-Server konfiguriert sein.

Weitere Gefahren

Der Großteil der verbleibenden Schwachstellen ist mit dem Bedrohungsgrad „hoch“ eingestuft. Auch hier sind DoS-Attacken möglich (etwa CVE-2026-120861). Vier Lücken gelten als „mittel“. Darunter ist eine Schwachstelle, durch die Authentifizierungsdaten in einer Logdatei landen können (CVE-2026-111348). Um sie auszulesen, benötigen Angreifer allerdings lokalen Zugriff.

Bislang gibt es seitens Citrix keine Berichte, dass Angreifer die Lücken bereits ausnutzen. Auch hybride Secure-Private-Access-Umgebungen mit NetScaler-Instanzen sind betroffen. Von Citrix verwaltete Cloud-Dienste aktualisiert der Hersteller selbst. Um Instanzen vor möglichen Angriffen zu schützen, müssen Admins eine der folgenden Versionen oder eine neuere installieren:

• Citrix NetScaler ADC und Citrix NetScaler Gateway 14.1-73.57
• Citrix NetScaler ADC und Citrix NetScaler Gateway 13.1-64.39
• Citrix NetScaler ADC 14.1-FIPS 14.1-73.58 FIPS
• Citrix NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.293

Regelmäßige Sicherheitsupdates

In einem Beitrag kündigt Citrix an, ab sofort monatlich zu einem festen Zeitpunkt, möglichst nahe am Patch Tuesday, Sicherheitspatches zu veröffentlichen. In dringenden Fällen, etwa aktiver Ausnutzung, sind Updates außerhalb dieses Rhythmus möglich. Die aktuellen Patches sind die ersten im Rahmen dieses Programms. Einige der Lücken hat Citrix eigenen Angaben zufolge mit KI-gestützter Code-Analyse entdeckt.

Zuletzt sorgte Anfang Oktober eine kritische Lücke in Citrix NetScaler für Schlagzeilen.

(des)