Citrix hat eine bereits ausgenutzte Lücke in NetScaler ADC und Gateway geschlossen. Sie hat einen CVSS-Wert von 8,7 und betrifft Geräte mit SAML-Login. Auch Admins, die kurz zuvor gepatcht haben, müssen erneut aktualisieren. Es gibt Hinweise, dass die Lücke weiter reicht als ein Absturz.
Citrix hat eine ausgenutzte NetScaler-Lücke mit CVSS 8,7 geschlossen, auch frisch gepatchte Geräte brauchen das Update. Betroffen sind Appliances mit SAML-Anmeldung. Die Angriffe laufen bereits.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-88779 wird aktiv ausgenutzt. Es ist ein Speicherfehler, der NetScaler ADC und NetScaler Gateway lahmlegen kann.
- Betroffen sind nur Geräte mit SAML. Sie müssen als SAML-Dienstanbieter oder Identitätsanbieter laufen, etwa mit Gateway oder AAA.
- Wer zuletzt gepatcht hat, muss nochmals updaten. Die früheren Updates gegen CVE-2026-88771 bis CVE-2026-88778 schützen hier nicht.
- Ein reiner Ausfall ist unbestätigt. Mehrere Quellen sehen Hinweise auf Schadcode-Ausführung.
Was bei der NetScaler-Lücke passiert ist
So meldeten Admins laut BleepingComputer am Freitag, 2. Oktober 2026, wiederholte Neustarts. Betroffen waren Geräte mit Version 14.1-73.37, die damals aktuell war. Citrix bestätigte noch am Freitagabend, dass es einen neuen Fall rund um SAML untersuche.
Zudem veröffentlichte Citrix den Sicherheitshinweis am Samstagabend, 3. Oktober 2026. Die Updates folgten in der Nacht auf Sonntag. Berichte dazu erschienen bis zum 5. Oktober 2026. Ein späteres Aktualisierungsdatum nennen die Quellen nicht.
Citrix schreibt im Hinweis zur Lücke, es gebe gezielte Angriffe auf Geräte ohne Schutz. Bei wiederholtem Auslösen bleibe der Dienst unter Umständen offline. Einen Einfluss auf die Integrität von Kundendaten habe Citrix nicht gefunden.
Wen es trifft und woran Du es erkennst
Dabei betrifft die Lücke nicht jedes NetScaler-Gerät. Sie greift, wenn das Gerät die SAML-Anmeldung für Single Sign-on bereitstellt. Prüfe diese Punkte:
- Das Gerät läuft als SAML-Dienstanbieter (SP) oder als Identitätsanbieter (IdP).
- SAML-Login ist zusammen mit Gateway oder AAA eingerichtet.
- Es handelt sich um ein selbst betriebenes Gerät, nicht um einen von Citrix gehosteten Dienst.
Damit Du sicher gehst, nennt der Citrix-Hinweis den genauen Konfigurationstest. Dort stehen auch die Konfigurationszeilen, nach denen Du suchst.
Der Angriff ist laut watchTowr sehr einfach. Eine einzige präparierte Anfrage reiche, um ein Gerät offline zu nehmen. Fällt ein Anmelde-Gateway aus, kommen Nutzer nicht mehr an die dahinter liegenden Dienste.
Diese NetScaler-Versionen schliessen die Sicherheitslücke
| Variante | Fixversion | Bedeutung |
|---|---|---|
| NetScaler ADC und Gateway 14.1 | 14.1-73.41 | Hebt den Stand von 14.1-73.37 an |
| NetScaler ADC und Gateway 13.1 | 13.1-64.28 | Gilt für die 13.1-Linie ohne FIPS |
| FIPS-Geräte | 14.1-73.41 FIPS | Spezielle Variante für FIPS-Betrieb |
| ADC FIPS und NDcPP auf 13.1 | 13.1-37.282 | Eigene Version für diese Zertifizierung |
Daher gibt es für alle, die nicht sofort updaten können, zwei Behelfe. Citrix liefert eine Zwischenlösung als Mitigation. Zudem gibt es Global Deny Lists, die bekannte bösartige IP-Adressen sperren. Citrix rät trotzdem, die Updates so schnell wie möglich einzuspielen.
Warum die Lage ernster sein könnte
Die Angriffe folgen auf zwei andere Lücken, CVE-2026-88771 und CVE-2026-88772. Diese wurden laut The Register am 27. September 2026 offengelegt. Die neue Lücke gehört technisch nicht dazu. WatchTowr vermutet aber, dass Angreifer damit gezielt Geräte abstürzen lassen, um die frühere Lücke schneller auszunutzen.
Dabei ergibt sich ein weiteres Bild. SecurityWeek berichtet, Admins hätten in Logs Anmeldeanfragen mit Shell-Befehlen im Benutzernamen gesehen. Ein Skript solle Web-Shells einpflanzen. Der Forscher Kevin Beaumont meldete Angriffsversuche auf gepatchte Test-Systeme. Einer seiner Köder habe eine geladene Schadsoftware ausgeführt. Citrix selbst spricht nur von Ausfällen.
Zudem stuft die US-Behörde CISA die Lücke als aktiv ausgenutzt ein. Bundesbehörden der USA mussten bis zum 7. Oktober 2026 patchen. Citrix nennt ausserdem ein Skript, das Geräte auf Spuren eines Einbruchs prüft. Ein sauberes Ergebnis beweist laut watchTowr aber nichts.
Einordnung: Was das für Admins in der Schweiz heisst
Wer NetScaler mit SAML-Login selbst betreibt, sollte sofort handeln. Die Frist der CISA für US-Behörden ist am 7. Oktober 2026 abgelaufen. Für Dich ist sie längst überschritten. Prüfe zuerst die SAML-Konfiguration und spiele dann die passende Version aus der Tabelle ein. Das gilt auch, wenn Du die Updates gegen CVE-2026-88771 bis CVE-2026-88778 schon installiert hast. Plane zusätzlich eine Prüfung auf Einbruchsspuren ein, denn ein reiner Ausfall ist nicht gesichert. Zu Kosten oder Betroffenenzahlen nennen die Quellen nichts.
Fazit
Du weisst jetzt, welche Geräte gefährdet sind und welche Builds helfen. Der nächste Schritt ist ein Blick in die SAML-Konfiguration Deiner NetScaler. Danach folgt das Update auf die passende Version. Lass das Gerät zudem mit dem Citrix-Skript auf Einbruchsspuren prüfen.
Quellen: Bing News: Citrix, Bing News: Citrix, Bing News: NetScaler, Bing News: NetScaler. Foto: blickpixel / Pixabay. Stand: 18. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.