Citrix hat am 27. September 2026 zwei kritische Lücken in NetScaler ADC und Gateway bestätigt. Beide wurden vor dem Patch ausgenutzt und erreichen je 9,5 von 10 Punkten. Fixes gibt es für die Versionen 14.1 und 13.1. Behörden raten, die Geräte vor dem Update auf Spuren eines Einbruchs zu prüfen.
Zwei Citrix-Lücken mit Schweregrad 9,5 werden aktiv ausgenutzt, und Updates stehen seit dem 27. September bereit. Betroffen sind NetScaler ADC und Gateway, die oft am Rand von Firmennetzen stehen. Ein Update zeigt nicht, ob Angreifer schon drin waren.
Das Wichtigste in Kürze
- Zwei kritische Lücken: CVE-2026-88771 und CVE-2026-88772 erreichen je 9,5 von 10 Punkten. Angreifer nutzten sie aus, bevor ein Patch existierte.
- Updates sind da: Citrix nennt 14.1-73.37 und 13.1-64.23 als Mindeststand, dazu passende FIPS-Builds.
- Kein Workaround: Das Bulletin nennt weder eine Umgehung noch Erkennungsmerkmale für einen Einbruch.
- Erst prüfen, dann patchen: Die US-Behörde CISA rät, Geräte vor dem Update auf Spuren zu untersuchen, weil Updates Beweise löschen können.
Was Citrix bestätigt hat
Citrix hat das Bulletin CTX697096 am 27. September 2026 veröffentlicht. Es ist die erste öffentliche Mitteilung zu den Lücken. Ein späteres Aktualisierungsdatum nennen die Quellen nicht. Alle Details stehen im Citrix-Bulletin.
Zudem hatte die Sicherheitsfirma watchTowr einen Tag davor vor mehreren ungepatchten NetScaler-Lücken gewarnt. Sie schrieb, die Informationen seien glaubwürdig. Citrix sagt nicht, ob es dieselben Lücken sind. Die Angaben passen aber zusammen.
Dabei übernehmen die Geräte VPN und Fernzugriff, Lastverteilung und die Anmeldung von Nutzern. Wer eines davon übernimmt, steht direkt am Rand des Firmennetzes. Citrix macht keine Angaben dazu, wie weit die Angriffe reichen, wer dahintersteckt und seit wann sie laufen.
Die beiden Lücken im Überblick:
- CVE-2026-88771: Eine falsche Prüfung von Eingaben erlaubt es, ohne Anmeldung Befehle auszuführen. Sie betrifft jede Installation, auch die Standardeinstellung.
- CVE-2026-88772: Ein Speicherüberlauf kann Code ausführen oder das Gerät abstürzen lassen. Er greift, wenn DTLS aktiv ist. Das ist bei VPN-Servern die Voreinstellung.
Citrix NetScaler: Welche Versionen betroffen sind
Betroffen sind die Zweige 14.1 und 13.1. Auch die Builds 14.1-73.32 und 13.1-63.21 liegen im Bereich. Sie hatten im August eine andere ausgenutzte Lücke geschlossen und brauchen nun das neue Update.
So hat der Zweig 13.1 am 15. September das Ende der Wartung erreicht. Citrix liefert den Fix trotzdem. Den Zeitplan beschreibt die Release-Übersicht von Citrix.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Schweregrad | 9,5 von 10 (beide Lücken) | Kritisch, Angriffe sind belegt |
| Fix für 14.1 | 14.1-73.37 oder neuer | Mindeststand für diesen Zweig |
| Fix für 13.1 | 13.1-64.23 oder neuer | Zweig ist seit 15. September ohne Wartung |
| Offene Geräte | über 50 277 | Schätzung von MSSP Alert für aus dem Internet erreichbare Instanzen |
| Weitere Lücken | 6 | Im selben Bulletin, nicht als ausgenutzt gelistet |
Citrix betreibt seine Cloud-Dienste selbst und spielt dort die Updates ein. Damit gilt das Bulletin für Geräte, die Kunden selbst verwalten. Dazu zählen auch NetScaler-Instanzen in Secure-Private-Access-Hybrid-Umgebungen.
Warum ein Update allein die Sicherheit nicht klärt
Da die Lücken vor dem Patch angegriffen wurden, beweist ein Update keine Sicherheit. Ein Angreifer kann seinen Zugang behalten. Die niederländische Behörde NCSC-NL beschreibt in ihrem Hinweis, dass die erste Lücke volle Kontrolle über das Gateway gibt. Damit erreichen Angreifer auch das Netz dahinter.
Zudem haben Forscher beobachtet, dass Angreifer über Tunnel Verkehr von übernommenen Geräten ins interne Netz leiten. Deshalb raten die Quellen, auch mögliche Zugangsdaten als offengelegt zu behandeln.
So nahm die CISA beide Lücken in ihre Liste ausgenutzter Schwachstellen auf. US-Bundesbehörden mussten bis 30. September patchen. Die Behörde meldet Angriffe weltweit.
Dabei sind die Prüfskripte der NCSC-NL aus dem Jahr 2025 eine weitere Option. Sie suchen nach Dateien, die auf einen Einbruch hindeuten. Sie gelten nicht für eine einzelne Lücke und kommen ohne Garantie. Der Code wurde zuletzt im September 2025 geändert.
Einordnung: Was das für Admins in der Schweiz heisst
Wer NetScaler ADC oder Gateway selbst betreibt, sollte sofort handeln. Das gilt besonders für Geräte mit Zugang aus dem Internet. Zuerst gilt es, Spuren eines Einbruchs zu sichern, danach folgt das Update auf 14.1-73.37 oder 13.1-64.23. Wer noch auf 13.1 läuft, sollte den Wechsel auf einen gewarteten Zweig planen. Die Quellen nennen keine Kosten. Der Aufwand besteht aus Prüfung, Update und dem Austausch möglicher Zugangsdaten. IT-Dienstleister melden sich laut Berichten bereits bei Kunden, einige rieten zum Abschalten der Geräte.
Fazit
Damit kennst Du jetzt die zwei Lücken, die Mindestversionen und das Risiko eines früheren Einbruchs. Prüfe als Nächstes, welche NetScaler-Geräte bei Dir laufen und welche Version sie haben. Sichere Spuren, installiere das Update und erneuere Zugangsdaten, die über das Gerät liefen.
Quellen: Bing News: Citrix, Bing News: Citrix, Bing News: Citrix, Bing News: Citrix. Foto: blickpixel / Pixabay. Stand: 18. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.