Citrix Netscaler aktualisieren! Zero-Day verursacht Crashes und Codeausführung

Seit den Abendstunden des 2. Oktober 2026 kursiert offenbar ein Exploit für eine neue Sicherheitslücke auf Citrix-Netscaler-Geräten. Der Hersteller warnt in einem Sicherheitshinweis, betroffen sind diesmal Geräte mit aktivierten SAML-Funktionen. Patches sind seit Sonntag verfügbar.

Dem britischen Sicherheitsexperten Kevin Beaumont zufolge könnte es sich um eine Umgehung der Fehlerbehebung der letzte Woche bekannt gewordenen Lücke „Pitscaler“ (CVE-2026-88771 / CVE-2026-88772) handeln. Er schreibt: „Also auf einem meiner Honeypots läuft eine heruntergeladene (Malware-) Binärdatei. Beide [Honeypots, Anm. d.Red.] waren gepatcht, also neue Schwachstelle.“ Sie ist offenbar auf der kürzlich erschienenen neuesten Version des Netscaler-Betriebssystems ausnutzbar – ein Zero-Day.

Andere Fachleute sekundieren: „Das Team von watchTowr Labs hat die Schwachstelle nun erfolgreich reproduziert.“ Damit ist nur eine Woche nach der letzten fatalen Lücke wieder ein Exploit für Netscaler-Systeme im Umlauf, der zur Einschleusung von Malware und dem Angriff auf Firmennetze taugt. Der Exploit lässt sich wohl über den massenhaften Versand von SAML-Anfragen an ein verwundbares Gerät ausführen. Reddit-Nutzer diskutieren die Lücke und ihre Ausnutzung in einem umfangreichen Diskussionsfaden.

Citrix bringt Updates am Wochenende

Der Hersteller äußerte sich ebenfalls überraschend zügig in seinem Blog. Jedoch nennt er weder wirksame Gegenmaßnahmen noch stellt er eine Lösung mittels Patch bereit. Betroffene mögen den Kundendienst kontaktieren. Bis ein Patch für den Zero-Day verfügbar ist, hilft nur erhöhte Wachsamkeit am Feiertagswochenende. Wir werden diese Meldung kontinuierlich aktualisieren.

Am frühen Morgen des 4. Oktober folgte dann der offizielle Sicherheitshinweis für die Lücke mit der CVE-ID CVE-2026-88779 (CVSS4 8.7/10, Kritikalität hoch). Er enthält einige Details – so handelt es sich bei der Sicherheitslücke um einen Pufferüberlauf bei Netscaler-Instanzen, die als SAML SP (Service Provider) oder IdP (Identity Provider) konfiguriert sind. Die Konfiguration enthält dann eine der beiden Direktiven add authentication samlAction bzw. add authentication samlIdPProfile.

Administratoren sollten so schnell wie möglich aktualisieren und zwar auf folgende Versionen:

• 14.1-73.41 und später
• 13.1-64.28 und später
• 14.1-73.41 FIPS und später
• 13.1-37.282 und spätere Versionen von 13.1-FIPS und 13.1-NDcPP

Erst vor wenigen Tagen versüßte ein Zero-Day-Angriff auf Citrix-Appliances Admins und Sicherheitsforschern weltweit das Wochenende, davor im August.

(cku)