Kurzfassung
Citrix hat am 27. September 2026 acht Schwachstellen in NetScaler ADC und NetScaler Gateway behandelt. Besonders kritisch sind zwei nicht authentifizierte Schwachstellen zur Remotecodeausführung, die laut Citrix bereits aktiv angegriffen werden. Unternehmen mit aus dem Internet erreichbaren Systemen sollten Updates sofort priorisieren und eine Kompromittierungsprüfung anschließen.
Was ist passiert?
Betroffen sind kundenseitig betriebene Instanzen von Citrix NetScaler ADC und Citrix NetScaler Gateway. Citrix hat für insgesamt acht Sicherheitslücken Korrekturen veröffentlicht. Unter diesen Fehlern befinden sich zwei kritische Schwachstellen, über die Angreifer ohne vorherige Anmeldung Code auf verwundbaren Systemen ausführen können.
Die Lage ist deshalb brisant, weil Citrix die aktive Ausnutzung dieser beiden Lücken bereits bestätigt hat. Sobald ein NetScaler-System direkt aus dem Internet erreichbar ist, steigt das Risiko deutlich. Solche Systeme sitzen häufig am Rand des Unternehmensnetzes und vermitteln Zugriffe auf interne Anwendungen, VPNs oder veröffentlichte Dienste.
Technische Details
Bekannt ist, dass es sich bei den beiden kritischsten Fehlern um nicht authentifizierte Schwachstellen zur Remotecodeausführung handelt. Ein Angreifer benötigt also keine gültigen Zugangsdaten, um die Lücken auszunutzen. Das macht die Angriffskette kurz und für automatisierte Scans attraktiv.
Konkrete CVE-Nummern, betroffene Versionsstände im Detail sowie CVSS-Bewertungen nennt CERT-EU in den vorliegenden Informationen nicht. Auch die NVD-Bewertungen sind auf dieser Basis hier nicht belastbar anzugeben. Für die operative Priorisierung reicht die Einordnung dennoch aus: nicht authentifizierte RCE plus bestätigte Ausnutzung in freier Wildbahn bedeutet akuten Patch-Bedarf.
Wer ist betroffen?
Betroffen sind Unternehmen und Behörden, die Citrix NetScaler ADC oder Citrix NetScaler Gateway selbst betreiben. Besonders im Fokus stehen Systeme, die direkt aus dem Internet erreichbar sind. Im DACH-Raum betrifft das typischerweise VPN-Einstiege, Zugriffsportale für Homeoffice, veröffentlichte Geschäftsanwendungen und Umgebungen mit zentralem externem Zugriff.
Wer NetScaler ausschließlich intern nutzt und keinen externen Zugriff erlaubt, senkt das unmittelbare Risiko. Entwarnung wäre das aber nicht: Sobald ein Angreifer bereits im Netzwerk ist oder Zugriffswege über vorgeschaltete Systeme findet, bleiben ungepatchte Instanzen ein Problem.
Empfohlene Maßnahmen
Erstens: Spielen Sie die von Citrix bereitgestellten Updates auf alle betroffenen NetScaler-Instanzen schnellstmöglich ein. Maßgeblich sind die offiziellen Informationen von Citrix und die technische Einordnung von CERT-EU. Weiterführende Details finden Sie bei CERT-EU.
Zweitens: Prüfen Sie sofort, welche NetScaler-Systeme aus dem Internet erreichbar sind. Diese Instanzen haben Priorität 1. Wenn ein sofortiges Update betrieblich nicht möglich ist, sollten Sie den externen Zugriff vorübergehend einschränken, Management-Zugänge zusätzlich absichern und nicht zwingend benötigte veröffentlichte Dienste deaktivieren.
Drittens: Führen Sie eine Kompromittierungsprüfung durch. CERT-EU empfiehlt das ausdrücklich für exponierte Systeme. Sichern Sie Protokolle, prüfen Sie ungewöhnliche Anmeldeereignisse, neue Konfigurationsänderungen, unbekannte geplante Aufgaben oder verdächtige Prozesse und vergleichen Sie den Systemzustand mit einem bekannten sauberen Stand.
Viertens: Wenn Sie Hinweise auf eine erfolgreiche Ausnutzung finden, behandeln Sie das System als potenziell vollständig kompromittiert. Dann reicht ein bloßes Patchen nicht aus. Isolieren Sie die Instanz, rotieren Sie Zugangsdaten und Sitzungsschlüssel, prüfen Sie nachgelagerte Systeme auf Seitwärtsbewegungen und planen Sie eine Wiederherstellung aus vertrauenswürdigem Zustand.
Einschätzung von CyberSecurity-News.de
Die Kombination aus Perimeter-System, nicht authentifizierter Remotecodeausführung und bestätigter aktiver Ausnutzung ist für Unternehmen hochrelevant. Das ist kein Fall für den nächsten regulären Wartungszyklus, sondern für eine beschleunigte Behandlung durch Betrieb und Security gemeinsam.
Die Informationslage ist derzeit in einem wichtigen Punkt noch unvollständig: Ohne präzise Versionslisten, CVE-Nummern und belastbare Indikatoren für eine Kompromittierung bleibt die Umsetzung auf Herstellerdetails angewiesen. Positiv ist, dass die aktive Ausnutzung klar benannt wurde. Weniger hilfreich ist, dass Unternehmen für die konkrete Eingrenzung ihrer Betroffenheit und für die forensische Prüfung auf zusätzliche technische Details angewiesen sind.
Fazit
Wenn Sie Citrix NetScaler ADC oder Gateway selbst betreiben, sollten Sie exponierte Systeme sofort identifizieren, priorisiert patchen und anschließend auf Anzeichen einer Kompromittierung untersuchen. Für internetseitig erreichbare Instanzen ist die Lage akut; wer hier abwartet, geht ein unnötig hohes Risiko ein.
Quellenangabe
Weiterführende Informationen: CERT-EU: 2026-014: Critical Vulnerabilities in Citrix NetScaler ADC and Gateway
