Citrix NetScaler Zero-Day: CVSS 9,5 – Patches und Prüfpflicht

Citrix hat im Security Bulletin CTX697096 vom 27. September 2026 Updates für acht Schwachstellen in NetScaler ADC und NetScaler Gateway veröffentlicht. Zwei davon sind ein Citrix NetScaler Zero-Day der höchsten Risikoklasse: CVE-2026-88771 und CVE-2026-88772, beide mit CVSS 9,5 bewertet, beide aktiv ausgenutzt. Betroffen sind ausschließlich selbst verwaltete Installationen – und die eigentliche Arbeit beginnt für Admins erst nach dem Update.

Citrix NetScaler Zero-Day: Was in CTX697096 steckt

Das Bulletin listet acht Lücken, von CVE-2026-88771 bis CVE-2026-88778. Im Zentrum stehen die beiden Zero-Days. CVE-2026-88771 erlaubt Remote Code Execution ohne Authentifizierung und wirkt nach dem BSI-Hinweis ohne zusätzliche Konfigurationsvoraussetzungen – also auch in Standardkonfigurationen. Für einen Angreifer genügt damit ein erreichbarer NetScaler-Endpunkt.

CVE-2026-88772 setzt dagegen aktives DTLS voraus. Auf VPN-vServern ist DTLS standardmäßig eingeschaltet, weshalb die Lücke in der Praxis kaum seltener relevant ist. Beide Schwachstellen stehen unabhängig nebeneinander und sind auch nicht mit älteren NetScaler-Lücken verwandt.

Die CISA bestätigt eine globale, aktive Ausnutzung durch Bedrohungsakteure und hat beide CVEs in den Known Exploited Vulnerabilities Catalog aufgenommen. Damit greifen die üblichen KEV-Fristen – die Behörde benennt allerdings keine konkreten Gruppen hinter den Angriffen.

Betroffene Builds: Warum der August-Patch nicht schützt

Geschützt sind nur Installationen ab 14.1-73.37 oder 13.1-64.23 oder neuer. Als verwundbar gelten 14.1 vor 14.1-73.37, 13.1 vor 13.1-64.23, 14.1-FIPS vor 14.1-73.37 FIPS sowie 13.1-FIPS und 13.1-NDcPP vor 13.1-37.279.

Die eigentliche Falle liegt bei den August-Builds 14.1-73.32 und 13.1-63.21. Sie schließen die Authentifizierungsumgehung CVE-2026-19490, liegen aber weiterhin im betroffenen Bereich. Wer im August gepatcht und die Versionsnummer seitdem nicht erneut geprüft hat, ist gegen die neuen Zero-Days nicht geschützt – die Lücken sind voneinander unabhängig.

Erschwerend kommt hinzu: Der 13.1-Zweig ist seit dem 15. September 2026 im End of Maintenance. Citrix empfiehlt die Migration auf 14.1, was in gewachsenen Umgebungen selten innerhalb weniger Tage erledigt ist.

Vor dem Patchen prüfen: BSI und CISA zur Kompromittierung

Die ungewöhnlichste Empfehlung lautet: erst untersuchen, dann patchen. Die CISA rät, vor dem Update auf eine Kompromittierung zu prüfen und Beweismaterial zu sichern, weil das Einspielen der Patches die forensische Sichtbarkeit reduziert. Citrix stellt Indicators of Compromise über die NetScaler Console bereit und veröffentlicht einen Leitfaden für den Verdachtsfall.

Das BSI warnt zusätzlich, dass hinterlegte Webshells und unerlaubte Konfigurationsänderungen auch nach dem Patchen aktiv bleiben. Daraus ergeben sich drei getrennte Aufgaben: die Lücke beheben, die NetScaler-Instanz auf einen früheren Einbruch untersuchen und die Auswirkungen auf das interne Netz bewerten. Eine Auswertung zum Kompromittierungsnachweis hält fest, dass die Ausnutzung mindestens bis zum 5. September 2026 zurückreicht – Wochen vor Veröffentlichung der Patches.

Einen Workaround nennt Citrix nicht, und Indicators of Compromise enthält das Bulletin selbst nicht, wie eine detaillierte Aufstellung des Bulletins zeigt. Ohne die Konsole bleiben Admins für die Spurensuche also weitgehend auf eigene Telemetrie angewiesen.

NetScaler als Einfallstor: Vorgeschichte und Einordnung

NetScaler ADC und Gateway sitzen typischerweise als vorgelagerter Zugangspunkt vor internen Netzen. Eine kompromittierte Instanz ist deshalb kein isoliertes Problem, sondern ein möglicher Einstieg ins LAN – der Punkt, an dem aus einer Patch-Meldung eine Incident-Response-Aufgabe wird.

Die Parallele zur NetScaler-Kampagne 2025 drängt sich auf: CVE-2025-6543 und CVE-2025-5777 landeten im Juli 2025 im KEV-Katalog. Das Muster wiederholt sich – exponierter Zugangspunkt, schnelle Ausnutzung, spät verfügbarer Patch.

Am 26. September 2026 hatte watchTowr zwei aktiv ausgenutzte RCE-Zero-Days aus forensischen Untersuchungen gemeldet; die FAQ zur Lücke bestätigt inzwischen die gefixten Builds und die Einstufung als Critical. Citrix hat nicht ausdrücklich bestätigt, dass es sich um dieselben Schwachstellen handelt – diese Gleichsetzung bleibt eine Annahme. Bereits vor dem Bulletin hatten Sicherheitsforscher vor neuen Zero-Day-Exploits in NetScaler gewarnt.

Sophos MDR teilte in einem eigenen Advisory mit, in der eigenen Kundenbasis keine bestätigte Ausnutzung beobachtet zu haben. Das ist eine Herstellerangabe zum eigenen Kundenstamm – keine allgemeine Entwarnung.

Was Admins jetzt konkret tun sollten

Wer NetScaler selbst betreibt, sollte in dieser Reihenfolge vorgehen: zuerst Telemetrie und Logs sichern, dann die Instanz auf unerlaubte Konfigurationsänderungen, zusätzliche Konten und Webshells prüfen, erst danach auf 14.1-73.37 beziehungsweise 13.1-64.23 oder neuer aktualisieren.

Parallel lohnt der Blick auf das interne Netz: Welche Systeme waren für die NetScaler-Instanz erreichbar, welche Anmeldedaten lagen dort? Die CISA hat Mitte Oktober 2026 SIGMA-Detektionsregeln nachgeschoben, die sich in bestehende Detection-Pipelines integrieren lassen.

Und nicht zuletzt: Die Versionsprüfung gehört aufs Monitoring. Der August-Patch ist der beste Beleg dafür, dass „gepatcht" nicht automatisch „aktuell" bedeutet.

Quellen