Inhaltsverzeichnis
Citrix hat ein Security Bulletin veröffentlicht, das sechs Sicherheitslücken in NetScaler ADC (ehemals Citrix ADC) und NetScaler Gateway (ehemals Citrix Gateway) adressiert. Die Schwachstellen ermöglichen im schlimmsten Fall unauthentifizierte Dateilesezugriffe, Denial-of-Service-Angriffe (DoS) sowie unkontrolliertes Speicherverhalten. Wir empfehlen allen betroffenen Unternehmen, die verfügbaren Updates umgehend einzuspielen.
Was ist bekannt?
NetScaler ADC und NetScaler Gateway sind internetfähige Appliances, die zentrale Funktionen wie Load Balancing, Authentifizierung und Remote-Access bereitstellen. Genau diese exponierte Position macht sie zu einem attraktiven Angriffsziel. Die nun bekannt gewordenen Schwachstellen betreffen verschiedene Konfigurationen und weisen CVSS-v4.0-Scores von bis zu 8,8 auf.
Besonders hervorzuheben ist CVE-2026-8451: Die Schwachstelle ermöglicht einem nicht authentifizierten, entfernten Angreifer das Auslesen von Speicherfragmenten der Appliance — vorausgesetzt, NetScaler ist als SAML Identity Provider (IdP) konfiguriert. Die Lücke wird der bekannten „CitrixBleed“-Klasse zugeordnet, deren frühere Varianten in der Vergangenheit aktiv ausgenutzt wurden, um Zugangsdaten und sensible Informationen abzugreifen. Sicherheitsforschende von WatchTowr haben technische Details sowie einen Proof of Concept veröffentlicht.
Übersicht der Schwachstellen
| CVE-ID | Beschreibung | Voraussetzung | CVSS v4.0 |
|---|---|---|---|
| CVE-2026-8451 | Unzureichende Eingabevalidierung führt zu Memory Overread | NetScaler als SAML IDP konfiguriert | 8,8 |
| CVE-2026-8452 | Memory Overflow führt zu unvorhersehbarem Verhalten und DoS | Appliance als Gateway (VPN, ICA Proxy, CVPN, RDP Proxy) oder AAA Virtual Server konfiguriert | 8,8 |
| CVE-2026-8655 | Mehrere Memory Overflow-Schwachstellen führen zu DoS | NetScaler als LB vom Typ Oracle, DNS Proxy oder DNS Recursive Resolver konfiguriert | 8,8 |
| CVE-2026-10816 | Unauthentifiziertes, beliebiges Auslesen von Dateien | Zugriff auf NSIP, Cluster Management IP oder SNIP mit aktiviertem Management-Zugang | 7,1 |
| CVE-2026-10817 | Unzureichende Eingabevalidierung führt zu Memory Overread | TCP Timestamp im TCP-Profil aktiviert und mit einem Virtual Server (LB, CS, VPN) oder Service verknüpft | 6,9 |
| CVE-2026-13474 | Denial of Service durch fehlerhafte HTTP/2-Anfragen | HTTP/2 im HTTP-Profil aktiviert und mit einem Virtual Server (LB, CS, VPN) oder Service verknüpft | 8,7 |
Welche Versionen sind betroffen?
Das Security Bulletin gilt ausschließlich für kundenverwaltete NetScaler-Instanzen. Citrix-verwaltete Cloud-Dienste sowie Adaptive Authentication wurden bereits automatisch aktualisiert.
Folgende Versionen sind verwundbar und müssen auf den jeweils angegebenen Mindeststand aktualisiert werden:
- NetScaler ADC und NetScaler Gateway 14.1 — Update auf 14.1-72.61 oder höher
- NetScaler ADC und NetScaler Gateway 13.1 — Update auf 13.1-63.18 oder höher
- NetScaler ADC 14.1-FIPS — Update auf 14.1-72.61 FIPS oder höher
- NetScaler ADC 13.1-FIPS und 13.1-NDcPP — Update auf 13.1-37.272 oder höher
Zusätzliche Maßnahme für CVE-2026-13474
Neben dem Firmware-Update ist für CVE-2026-13474 eine ergänzende Konfigurationsanpassung erforderlich. Der neue Parameter Http2SmallWndTimeout muss gesetzt werden, der den Timeout für HTTP/2-Streams mit kleinem Empfangsfenster steuert. Dieser Parameter steht ausschließlich in den gepatchten Firmware-Versionen zur Verfügung.
Unsere Empfehlung
Wir empfehlen, die betroffenen Systeme so schnell wie möglich zu aktualisieren. Prüfen Sie zunächst, ob Ihre NetScaler-Konfiguration eine oder mehrere der genannten Voraussetzungen erfüllt. Die entsprechenden Konfigurationsprüfungen sind im offiziellen Citrix Security Bulletin (CTX696604) dokumentiert.
