Citrix NetScaler Zero-Days CVE-2026-88771 und CVE-2026-88772: Patchen allein reicht nicht

Am 27. September 2026 hat Cloud Software Group im Citrix-Bulletin CTX697096 Updates für acht Schwachstellen in Citrix NetScaler ADC und NetScaler Gateway veröffentlicht. Zwei davon, CVE-2026-88771 und CVE-2026-88772, ermöglichen Remote Code Execution ohne Authentifizierung und wurden bereits vor dem Patch aktiv ausgenutzt. Einen Tag zuvor hatte das Sicherheitsunternehmen watchTowr berichtet, dass die Lücken bei forensischen Untersuchungen aufgefallen waren. Auch Sophos MDR hat seine Kunden per Security Advisory gewarnt. Weil NetScaler-Appliances als VPN-Gateway, Load Balancer und Authentifizierungsinstanz direkt am Netzwerkperimeter stehen, besteht unmittelbarer Handlungsbedarf. Wir zeigen, welche Versionen betroffen sind, wie Sie die Vorbedingungen prüfen und warum das Update allein nicht ausreicht.

Was Citrix am 27. September 2026 bestätigt hat

Cloud Software Group, das Unternehmen hinter Citrix und NetScaler, stuft das Bulletin als kritisch ein. Es behebt insgesamt acht Schwachstellen in selbst verwalteten Installationen von NetScaler ADC und NetScaler Gateway. Für CVE-2026-88771 und CVE-2026-88772 hält Citrix fest, dass Exploits gegen ungepatchte Deployments beobachtet wurden. Seit wann, in welchem Umfang und von wem die Lücken ausgenutzt werden, lässt der Hersteller offen.

Den ersten öffentlichen Hinweis lieferte watchTowr am 26. September. Das Unternehmen meldete zunächst glaubwürdige Hinweise auf mehrere ungepatchte RCE-Lücken und ergänzte später, dass zwei davon bei forensischen Untersuchungen entdeckt wurden. Citrix hat nicht ausdrücklich bestätigt, dass es sich um dieselben Schwachstellen handelt. Die Beschreibungen decken sich laut The Hacker News jedoch.

Chronologie der NetScaler-Zero-Days

Abgrenzung zum Auth-Bypass CVE-2026-19490

Die neuen Lücken sind unabhängig von der Authentifizierungsumgehung CVE-2026-19490, die Citrix im August geschlossen hat. Für Administratoren ist dabei ein Detail wichtig. Die damaligen Fix-Builds 14.1-73.32 und 13.1-63.21 liegen im betroffenen Versionsbereich des aktuellen Bulletins. Wer im August zeitnah aktualisiert hat, ist gegen die neuen Zero-Days also nicht geschützt und muss erneut patchen.

Betroffene NetScaler-Versionen und Fixed Builds

Das Bulletin betrifft ausschließlich selbst verwaltete Installationen von NetScaler ADC und NetScaler Gateway. Ebenfalls betroffen sind NetScaler-Instanzen in Secure Private Access Hybrid Deployments. Citrix-verwaltete Cloud-Dienste und die von Citrix verwaltete Adaptive Authentication aktualisiert Cloud Software Group selbst.

Betroffene Versionen und abgesicherte Builds im Überblick

Neuere Builds als die genannten enthalten die Korrekturen ebenfalls. Maßgeblich ist, dass jede Instanz mindestens den jeweiligen Fixed Build erreicht, bei Hochverfügbarkeitspaaren also beide Knoten.

CVE-2026-88771 und CVE-2026-88772 im Detail

CVE-2026-88771 trifft jede Installation

CVE-2026-88771 beruht auf einer fehlerhaften Eingabevalidierung (CWE-20). Ein Angreifer ohne Zugangsdaten kann darüber beliebige Befehle auf der Appliance ausführen. Besondere Features oder Einstellungen sind nicht erforderlich, betroffen ist jede NetScaler-Installation in einer verwundbaren Version, auch in der Standardkonfiguration. Citrix bewertet die Lücke mit einem CVSS-v4.0-Score von 9,5.

CVE-2026-88772 zielt auf DTLS

CVE-2026-88772 ist ein Speicherüberlauf (CWE-119), der zu Remote Code Execution oder Denial of Service führen kann. Voraussetzung ist eine aktive DTLS-Konfiguration. Da DTLS auf VPN-vServern standardmäßig eingeschaltet ist, gilt jedes NetScaler Gateway als verwundbar, bei dem DTLS nicht ausdrücklich deaktiviert wurde. DTLS transportiert Gateway-Verkehr über UDP und ist deshalb auf vielen Installationen für SSL VPN und Remote-Zugriffe aktiv. Auch diese Lücke bewertet Citrix mit 9,5.

Vorbedingungen auf der eigenen Appliance prüfen

Mit den folgenden Befehlen lässt sich auf der NetScaler-CLI prüfen, welche Vorbedingungen erfüllt sind.

show ns version
show ns runningConfig | grep -i "vpn vserver"
show ns tcpparam | grep "Enhanced ISN Generation"

• show ns version zeigt den installierten Build. Liegt er unter dem Fixed Build, ist die Appliance verwundbar, soweit die jeweiligen Vorbedingungen zutreffen.
• Fehlt in einer add vpn vserver-Zeile der Parameter -dtls OFF, ist DTLS aktiv und CVE-2026-88772 relevant. Virtuelle Server vom Typ DTLS sind ebenfalls betroffen.
• Meldet die dritte Abfrage DISABLED und sind TCP-basierte vServer konfiguriert, trifft zusätzlich CVE-2026-88778 zu.

Für CVE-2026-88771 ist keine gesonderte Prüfung nötig, denn jede verwundbare Version ist betroffen. Einen Workaround nennt Citrix für keine der beiden ausgenutzten Lücken. Das Update ist damit die einzige wirksame Gegenmaßnahme.

Alle acht Schwachstellen aus CTX697096 im Überblick

Alle acht Lücken schließt derselbe Fixed Build. Für CVE-2026-88778 empfiehlt Citrix zusätzlich zum Update, die Enhanced ISN Generation gemäß der TCP-Konfigurationsanleitung zu aktivieren.

Sofortmaßnahmen für NetScaler-Administratoren

Weil die Lücken vor dem Patch ausgenutzt wurden, empfehlen wir, jede aus dem Internet erreichbare NetScaler-Appliance als potenziell kompromittiert zu behandeln. Daraus ergibt sich eine klare Reihenfolge.

1. Erfassen Sie alle NetScaler ADC, NetScaler Gateway und NetScaler-Instanzen in Secure Private Access Hybrid Deployments, einschließlich Test- und Altsystemen, und prüfen Sie jeweils den installierten Build.
2. Sichern Sie vor dem Update den aktuellen Zustand. Dazu gehören ein technisches Support-Bundle, bei VPX-Instanzen ein Snapshot sowie die Logs auf Remote-Syslog-Servern und in NetScaler Console. So bleibt der Zustand vor dem Eingriff für eine spätere Analyse erhalten.
3. Aktualisieren Sie auf den passenden Fixed Build, bei HA-Paaren beide Knoten.
4. Aktivieren Sie die Enhanced ISN Generation, wenn die Vorbedingungen für CVE-2026-88778 zutreffen.
5. Schotten Sie die Management-Zugänge ab. Citrix betont, dass die NetScaler Management Services niemals aus dem öffentlichen Internet erreichbar sein dürfen. NSIP und Managementoberflächen gehören in ein separates Managementnetz hinter einer Next-Generation Firewall.
6. Prüfen Sie Ihre externe Angriffsfläche. Sophos Managed Risk und eine externe Schwachstellenanalyse zeigen, welche Systeme und Managementoberflächen tatsächlich aus dem Internet erreichbar sind.

Warum das Update allein nicht reicht

Das Update schließt die Schwachstellen, zeigt aber nicht, ob ein Angreifer die Appliance bereits vorher übernommen hat. Ein vor dem Patch erlangter Zugriff, etwa über abgegriffene Zugangsdaten, Sitzungen oder eingerichtete Persistenz, bleibt bestehen. Das niederländische NCSC hat diesen Punkt bereits 2025 bei einer früheren NetScaler-Zero-Day-Welle betont.

Citrix-Empfehlungen bei Verdacht auf Kompromittierung

Für den Verdachtsfall verweist Citrix auf seine Anleitung für kompromittierte NetScaler-Appliances. Sie umfasst vier Kernschritte.

• Beweise vor jeder Änderung sichern, also VPX-Snapshot, Logs von Remote-Syslog und NetScaler Console, technisches Support-Bundle und einen Core Dump der Packet Engine.
• Verdächtige Appliances vom Netzwerk isolieren.
• Alle auf der Appliance gespeicherten Service-Account-Passwörter und Secrets ändern, die Passwörter aller Nutzer zurücksetzen, die sich über das Gerät authentifiziert haben, und Zertifikate samt privater Schlüssel widerrufen.
• Management-Schnittstellen vom öffentlichen Internet trennen.

Stand bei Indicators of Compromise

Stand 28. September 2026 enthält das Bulletin keine Indicators of Compromise. Auch Sophos MDR weist in seinem Advisory darauf hin, dass bislang keine IoCs veröffentlicht wurden. Aus unserer Sicht muss sich eine Prüfung deshalb auf Anomalien stützen, also unbekannte Dateien und Prozesse auf der Appliance, ungewöhnliche Anmeldungen über das Gateway und auffälligen Verkehr von der Appliance ins interne Netz.

Die 2025 veröffentlichten Prüfskripte des NCSC-NL suchen nach Dateien, die auf eine Kompromittierung hindeuten. Sie sind nicht auf eine bestimmte Schwachstelle zugeschnitten, wurden zuletzt im September 2025 aktualisiert und kommen ohne Garantie auf Vollständigkeit. Als ergänzender Baustein sind sie in unseren Augen dennoch sinnvoll.

Folgeaktivitäten im internen Netz prüfen

Ein übernommenes Gateway ist selten das eigentliche Ziel. Angreifer nutzen den Zugang, um Zugangsdaten abzugreifen und sich per Lateral Movement in Richtung Active Directory, Server und Backups zu bewegen. Prüfen Sie deshalb auch die Authentifizierungen der betroffenen Konten und Verbindungen aus der DMZ ins interne Netz. Sophos ITDR hilft dabei, kompromittierte Konten und riskante Identitäten sichtbar zu machen.

Meldepflichten nach NIS-2 beachten

Bestätigt sich eine Kompromittierung, kann für Einrichtungen im Anwendungsbereich des NIS-2-Umsetzungsgesetzes eine Meldepflicht bestehen. Bei einem erheblichen Sicherheitsvorfall ist innerhalb von 24 Stunden eine frühe Erstmeldung an das BSI fällig. Wer die NIS-2-Umsetzung noch nicht abgeschlossen hat, sollte Meldewege und Zuständigkeiten spätestens jetzt festlegen.

NetScaler 13.1 im End of Maintenance: Migration auf 14.1 planen

Der 13.1-Zweig hat laut Citrix-Release-Zyklus am 15. September 2026 das End of Maintenance erreicht. Das aktuelle Bulletin enthält zwar noch einen Fixed Build für 13.1, die Korrektur kam aber nach diesem Stichtag. Welche Updates der Zweig bis zum End of Life noch erhält, regelt der Release-Zyklus von Citrix. Aus unserer Sicht sollten Betreiber sich darauf nicht verlassen und die Migration auf 14.1 jetzt einplanen.

In der Praxis heißt das, zuerst auf 13.1-64.23 zu aktualisieren, um die akuten Lücken zu schließen, und danach den Wechsel auf 14.1 mit Tests von Konfiguration, Authentifizierungsrichtlinien und HA-Paaren vorzubereiten. Eine Migration unter Zeitdruck parallel zur Vorfallsprüfung erhöht das Fehlerrisiko unnötig.

Was Sophos MDR unternimmt

Sophos MDR hat seine Kunden mit einem Security Advisory zu den beiden Zero-Days informiert. Nach Angaben von Sophos wurde bis zum Zeitpunkt des Advisories keine bestätigte Ausnutzung in der Kundenbasis beobachtet. Das MDR-Team überwacht die Umgebungen weiterhin auf Post-Exploitation-Aktivitäten, die sich mit den Schwachstellen in Verbindung bringen lassen, und benachrichtigt Kunden sofort bei verdächtigem oder bösartigem Verhalten.

In unseren Augen zeigt sich hier der Wert eines Managed Service. Auf der NetScaler-Appliance selbst läuft kein Endpoint-Agent, die Folgeaktivitäten eines Angreifers werden aber auf Endpoints, Servern, in Identitäten und im Netzwerkverkehr sichtbar. Sophos MDR wertet diese Telemetrie rund um die Uhr aus und ergänzt sie um aktives Threat Hunting. Sophos NDR liefert zusätzlich Netzwerktelemetrie, mit der sich ungewöhnliche Verbindungen aus der DMZ aufdecken lassen. Welche Perimeter-Systeme sich darüber hinaus als Datenquelle anbinden lassen, zeigt die Liste der Sophos Third-Party Integrations.

Perimeter nachhaltig absichern

Aus unserer Sicht folgen die NetScaler-Zero-Days einem Muster, das wir bereits bei FortiBleed beschrieben haben. Systeme am Netzwerkrand werden gezielt angegriffen, oft bevor ein Patch existiert. Schnelles Patchen bleibt Pflicht, nachhaltige Absicherung setzt aber an der Architektur an.

• Veröffentlichen Sie nur Dienste, die zwingend aus dem Internet erreichbar sein müssen. Managementoberflächen gehören grundsätzlich in ein getrenntes Netz.
• Betreiben Sie Gateways und Load Balancer in einer eigenen DMZ und beschränken Sie Verbindungen ins interne Netz per Netzwerksegmentierung auf das Nötigste.
• Prüfen Sie Ihr Zugriffsmodell. Zero Trust Network Access gibt Nutzern Zugriff auf einzelne Anwendungen statt auf ganze Netzsegmente. Sophos bündelt ZTNA in Sophos Workspace Protection.
• Halten Sie Logs lange genug vor. Forensik scheitert häufig an fehlenden Daten. Mit Sophos Firewall Reporting und Sophos Central Data Storage verlängern Sie die Aufbewahrung von Firewall-Logs und Central-Daten.
• Lassen Sie Regelwerke und Konfigurationen regelmäßig prüfen. Ein Firewall Audit und eine gezielte Firewall-Härtung reduzieren die Angriffsfläche am Perimeter dauerhaft.

„Wer nach einem Zero-Day am Perimeter nur patcht, hat die Lücke geschlossen, aber nicht geprüft, ob Angreifer bereits Zugangsdaten oder Persistenz im Netz haben. Forensische Prüfung, Rotation aller Secrets und kontinuierliches Monitoring gehören deshalb fest in jeden Notfallplan.“

Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH

Wenn Sie Unterstützung bei der Prüfung Ihrer Perimeter-Systeme, bei der Absicherung von Remote-Zugängen oder bei der Einführung von Sophos MDR benötigen, sprechen Sie uns an.

Beratung anfragen → Sophos MDR ansehen →

Fazit

Mit CVE-2026-88771 und CVE-2026-88772 stehen erneut zwei kritische Lücken in einem zentralen Perimeter-System unter aktivem Angriff. Die erste betrifft jede verwundbare NetScaler-Installation, die zweite nahezu jedes Gateway mit Standardeinstellungen. Einen Workaround gibt es nicht, und auch der Patch aus dem August schützt nicht.

Betreiber sollten deshalb sofort auf 14.1-73.37 oder 13.1-64.23 aktualisieren, vorher den Zustand der Appliances sichern und danach gezielt nach Spuren einer Kompromittierung suchen. Secrets, Zertifikate und Nutzerpasswörter, die über das Gateway liefen, gehören auf den Prüfstand. Wer noch auf 13.1 arbeitet, sollte die Migration auf 14.1 zeitnah angehen. Langfristig senken weniger Exposition, saubere Segmentierung und kontinuierliches Monitoring das Risiko, dass der nächste Zero-Day am Perimeter unbemerkt bleibt.