Citrix hat eine kritische Schwachstelle in NetScaler ADC und Gateway gemeldet. Sie kann Code ausführen oder den Dienst lahmlegen, betrifft aber nur bestimmte SAML-Konfigurationen. Bisher gibt es keine Hinweise auf Angriffe. Kunden müssen selbst aktualisieren, nur die verwalteten Cloud-Dienste pflegt Citrix.
Eine neue NetScaler-Lücke erreicht 9,5 von 10 Punkten und verlangt sofortige Updates. Gefährdet sind Appliances mit SAML-Konfiguration. Wer sie betreibt, sollte noch heute die eigene Version prüfen.
Das Wichtigste in Kürze
- Kritischer Fehler mit Wert 9,5: CVE-2026-107406 ist ein Speicherüberlauf in NetScaler ADC und Gateway. Er kann Code ausführen oder den Dienst lahmlegen.
- Nur bestimmte Konfigurationen: Gefährdet sind Geräte, die als SAML Service Provider oder SAML Identity Provider laufen.
- Kein bekannter Angriff: Der Hersteller kennt laut den Quellen keine Ausnutzung. Das kann sich rasch ändern.
- Kunden müssen selbst handeln: Für verwaltete Cloud-Dienste und Adaptive Authentication spielt der Hersteller die Updates selbst ein.
Was der Hersteller zur NetScaler-Lücke meldet
Citrix hat die Warnung am Donnerstag, 8. Oktober 2026, veröffentlicht. The Register berichtete einen Tag später darüber. Eine spätere Aktualisierung nennen die Quellen nicht.
Die Schwachstelle trägt die Kennung CVE-2026-107406. Die Firma beschreibt sie als Speicherüberlauf. Je nach Lage kann ein Täter fremden Code starten oder den Dienst stoppen. Die Einstufung lautet CWE-119, also eine unsaubere Grenzprüfung im Speicher.
Der CVSS-Wert (v4.0) liegt bei 9,5. The Hacker News hält fest, dass es keinen Beleg für Attacken in freier Wildbahn gibt. Auch die Firma selbst schreibt, ihr seien keine ungeschützten Fälle bekannt.
Entdeckt haben den Fehler Michael Tucker, Chew Keong Tan und Alex Bernier vom XOR Team von JPMorgan Chase. Dazu kommt Maxim Suhanov.
Wer gefährdet ist
Ausschlaggebend ist die Konfiguration. Die Appliance muss als SAML-SP oder als SAML-IdP laufen. Ältere Stände sind in beiden Rollen verwundbar. Einige neuere Stände sind laut The Register nur als IdP anfällig.
Zudem gelten Secure Private Access Hybrid Deployments als gefährdet, wenn sie NetScaler-Instanzen nutzen. Diese Instanzen muss die Kundin oder der Kunde ebenfalls auf die empfohlene Version bringen.
Die Prüfung läuft über die Konfiguration. Der Hersteller nennt Einträge, an denen sich ein SAML-Betrieb erkennen lässt. Die genaue Liste der Stände steht im Bulletin zu den Patches. Wer unsicher ist, gleicht die eigene Konfiguration mit diesem Bulletin ab.
Diese Versionen schliessen die Lücke
Korrekturen gibt es in mehreren Zweigen. Diese Stände gelten als gepatcht:
- NetScaler ADC und Gateway 14.1-73.46
- NetScaler ADC und Gateway 13.1-64.29
- 14.1-73.46 FIPS
- 13.1.37.283 für 13.1-FIPS und 13.1-NDcPP
Dabei gilt: Wer in einem älteren Zweig sitzt, muss auf einen dieser Stände wechseln. Eine blosse Konfigurationsänderung nennen die Quellen nicht als Lösung.
Sicherheit: Warum die Warnung ernst zu nehmen ist
Die Meldung kommt nach mehreren Wochen mit NetScaler-Problemen. Drei Fehler wurden bereits aktiv ausgenutzt. Zwei davon wurden etwa eine Woche vor CVE-2026-88779 behoben.
| Kennung | Wirkung | Bedeutung |
|---|---|---|
| CVE-2026-107406 | RCE oder DoS, CVSS 9,5 | Neu, keine bekannte Ausnutzung |
| CVE-2026-88779 | DoS, CVSS 8,7 | Ausgenutzt, betrifft SAML-Setups |
| CVE-2026-88771 | RCE | Ausgenutzt, Zero-Day |
| CVE-2026-88772 | RCE oder DoS | Ausgenutzt, Zero-Day |
Google-Forscher gehen laut The Register davon aus, dass die Kampagne zu CVE-2026-88772 seit mindestens Anfang September läuft. Im Visier standen wohl Behörden, Finanz, Recht und Bildung in Nordamerika und Europa. SecurityWeek nennt zudem professionelle Dienstleister.
So zeigt sich ein Muster. Die neue Lücke trifft wie CVE-2026-88779 SAML-Konfigurationen. Sie hat den höheren Wert und kann ebenfalls Code ausführen. Kriminelle kennen NetScaler also bereits als Ziel.
Einordnung: Was das für Admins in der Schweiz heisst
Wer NetScaler ADC oder Gateway selbst betreibt, prüft zuerst, ob SAML als SP oder IdP aktiv ist. Dann zählt die Version: Ein Update auf einen der genannten Stände ist nötig, und zwar rasch. Eine Frist nennt der Hersteller nicht, er rät aber zu sofortigem Handeln. Firmen mit verwaltetem Dienst müssen laut Quelle nichts tun, die Updates dort spielt der Anbieter selbst ein. Kosten nennen die Quellen nicht. Der Aufwand ist ein Wartungsfenster pro Gerät. Das lohnt sich, weil frühere Lücken bereits missbraucht wurden.
Fazit
Du weisst jetzt, welche Konfigurationen gefährdet sind und welche Versionen den Fehler beheben. Prüfe heute die Stände Deiner Appliances und plane das Update. Die offiziellen Hinweise des Herstellers geben dafür den Rahmen vor.
Quellen: Bing News: Citrix, Bing News: Citrix, Bing News: Citrix, Bing News: Citrix. Foto: Pixaline / Pixabay. Stand: 18. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.