Aktiv ausgenutzte Citrix-NetScaler-Schwachstellen: Massnahmen für die Geschäftsleitung

Citrix hat Fixes für acht Schwachstellen in NetScaler ADC und NetScaler Gateway veröffentlicht, den Systemen, die viele Unternehmen für den Fernzugriff nutzen. Zwei wurden bereits vor Veröffentlichung des Fixes ausgenutzt: Citrix entdeckte sie bei der Untersuchung von Vorfällen bei Kunden, und das niederländische National Cyber Security Centre hat Angriffe auf mehrere Organisationen weltweit gemeldet.

Behörden behandeln dies als dringend. CERT-EU fordert Organisationen dazu auf, sowohl nach Anzeichen einer Kompromittierung zu suchen als auch zu patchen, und US-Bundesbehörden wurde eine Frist von drei Tagen gesetzt, um ihre Appliances abzusichern. Dieser Artikel erklärt das Geschäftsrisiko, die Massnahmen, die die Geschäftsleitung diese Woche freigeben sollte, und was Regulatoren in Grossbritannien, der EU und der Schweiz erwarten.

Wichtige Fakten

Punkt	Detail
Herstellerbulletin	CTX697096, veröffentlicht am 27. September 2026 von Cloud Software Group, der Muttergesellschaft von Citrix
Betroffene Produkte	Kundenverwaltete NetScaler-ADC- und NetScaler-Gateway-Appliances mit Releases älter als die im technischen Abschnitt unten genannten
Schwachstellen	Acht behoben. Zwei wurden bereits vor Veröffentlichung des Fixes ausgenutzt
Schweregrad	Vom Hersteller als kritisch eingestuft. Beide ausgenutzten Schwachstellen erreichen 9,5 von 10
Login für Ausnutzung erforderlich	Nein, bei der schwerwiegendsten Schwachstelle — sie funktioniert gegen die Standardkonfiguration
Nicht betroffen	Von Citrix verwaltete Cloud-Services und die von Citrix verwaltete Adaptive Authentication, die der Hersteller selbst aktualisiert
Heute zu entscheiden	Freigabe eines Notfall-Changes zur Aktualisierung jeder Appliance, gefolgt von einer Kompromittierungsprüfung

Warum das für Ihr Unternehmen relevant ist

NetScaler Gateway ist das System, das viele Unternehmen für den Fernzugriff nutzen. Mitarbeitende und externe Dienstleister melden sich darüber an, um auf E-Mail und Kundensysteme zuzugreifen, und NetScaler ADC (Application Delivery Controller) leitet den Datenverkehr zu wichtigen Anwendungen. Beide sind konstruktionsbedingt aus dem Internet erreichbar.

Da die schwerwiegendste Schwachstelle keinen Login erfordert, kann jede aus dem Internet erreichbare Appliance direkt angegriffen werden. Ein Angreifer, der die Kontrolle über die Appliance übernimmt, kann Zugangsdaten von Mitarbeitenden beim Login abgreifen, bereits offene Sitzungen übernehmen und die Appliance als Einstiegspunkt in interne Systeme nutzen.

Für das Unternehmen kann dies zur Offenlegung von Kundendaten und zum Verlust des Fernzugriffs führen, während Systeme wiederhergestellt werden. Es kann zudem Meldepflichten gegenüber Regulatoren und Kunden auslösen.

Eine kompromittierte Appliance ist schwerer zu erkennen als ein kompromittierter Laptop oder Server. NetScaler-Appliances können keine Endpoint-Detection-and-Response(EDR)-Software ausführen, sodass Aktivität, die auf der Appliance beginnt, wie normaler Datenverkehr aussehen kann.

Die Installation des Updates stoppt weitere Angriffe über diese Schwachstellen. Es entfernt jedoch keinen Angreifer, der bereits vor dem Update eingedrungen ist — deshalb gehen die folgenden Massnahmen über reines Patchen hinaus.

Massnahmen für die Geschäftsleitung

Wann	Massnahme	Verantwortlich	Zweck
Heute	Jede NetScaler-Appliance identifizieren, das jeweilige Software-Release feststellen und prüfen, ob sie aus dem Internet erreichbar ist. Appliances einschliessen, die von Lieferanten in Ihrem Auftrag betrieben werden	IT-Leitung	Bestätigt Ihre Exposition
Innerhalb von 24 Stunden	Jede kundenverwaltete Appliance als Notfall-Change auf ein behobenes Release aktualisieren	IT-Leitung, mit Freigabe der Geschäftsleitung	Schliesst die beiden ausgenutzten sowie die übrigen sechs Schwachstellen
Unmittelbar nach dem Update	Alle aktiven Benutzersitzungen beenden. Administratorpasswörter sowie die Passwörter der Service-Konten ändern, mit denen NetScaler Logins gegen Ihr Verzeichnis prüft	IT-Leitung	Entfernt Zugriff, den ein Angreifer möglicherweise bereits besitzt
Innerhalb von fünf Arbeitstagen	Eine Kompromittierungsprüfung in Auftrag geben, die mindestens die letzten 60 Tage an Appliance-Logs und Netzwerkaktivität abdeckt	Sicherheitsleitung oder eine externe Incident-Response-Firma	Stellt fest, ob vor dem Fix jemand eingedrungen ist
Innerhalb von fünf Arbeitstagen	Bestätigen, dass die Management-Konsole der Appliance nicht aus dem Internet erreichbar ist	IT-Leitung	Schliesst einen verbreiteten Weg zur vollständigen Kontrolle der Appliance
Innerhalb von fünf Arbeitstagen	Entscheiden, ob eine regulatorische Meldepflicht greift, und die Entscheidung samt Begründung dokumentieren	Compliance-Verantwortliche	Liefert Regulatoren die Nachweise, die sie verlangen werden

Appliances mit nicht mehr unterstützten Releases. Ein Release, das keine Updates mehr erhält, kann nicht gepatcht werden. Diese Appliances müssen zunächst auf ein unterstütztes Release gehoben werden, was mehr Zeit braucht — identifizieren Sie sie daher bereits heute.

Massnahmen über das Herstellerbulletin hinaus. Das Bulletin verlangt nicht, Sitzungen zu beenden oder Zugangsdaten zu ändern. DarkGuard empfiehlt beides, da Angreifer, die frühere NetScaler-Schwachstellen ausgenutzt haben, gestohlene Sitzungen und Zugangsdaten nutzten, um ihren Zugriff auch nach dem Patchen der Systeme zu behalten.

Wenn ein Lieferant Ihren Fernzugriff betreibt. Die Verantwortung für das Risiko verbleibt bei Ihrem Unternehmen. Der EU Digital Operational Resilience Act (DORA) stellt dies ausdrücklich fest, und die britische Financial Conduct Authority (FCA) wendet denselben Grundsatz auf ausgelagerte Dienste an. Bitten Sie Ihren Anbieter um eine schriftliche Bestätigung, welches Release jede Appliance aktuell ausführt, wann sie aktualisiert wurde und was die Kompromittierungsprüfung ergeben hat.

Fragen an Ihre IT-Leitung diese Woche

1. Wie viele NetScaler-Appliances haben wir, einschliesslich solcher, die von einem Lieferanten betrieben werden, und läuft eine davon auf einem Release, das keine Updates mehr erhält?
2. Wann befindet sich jede Appliance auf einem behobenen Release, und wer hat den Change freigegeben?
3. Wurden aktive Sitzungen beendet und die Zugangsdaten der Appliance geändert?
4. Wer prüft, ob wir vor dem Update kompromittiert wurden, und wann liegen die Ergebnisse vor?
5. Löst etwas von den bisherigen Erkenntnissen eine Meldepflicht aus, und wer ist für diese Entscheidung verantwortlich?

Regulatorische Erwartungen

Regulatoren werden sehen wollen, dass Sie nach Veröffentlichung des Fixes umgehend gehandelt haben und jeden Schritt belegen können.

Rahmenwerk	Gilt für	Relevanz für dieses Thema
DORA	EU-Finanzunternehmen, seit dem 17. Januar 2025	Das Technologierisikomanagement muss zeitnahes Patchen umfassen. Ein schwerwiegender Vorfall erfordert eine Erstmeldung innerhalb von vier Stunden nach Einstufung und spätestens 24 Stunden nach Kenntnisnahme
EU-Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS2)	Wesentliche und wichtige Einrichtungen gemäss nationalem Recht	Schwachstellenmanagement ist eine vorgeschriebene Sicherheitsmassnahme. Ein erheblicher Vorfall erfordert eine Frühwarnung innerhalb von 24 Stunden und eine Vorfallsmeldung innerhalb von 72 Stunden
FCA	FCA-zugelassene Unternehmen	Wichtige Geschäftsprozesse müssen innerhalb ihrer Auswirkungstoleranzen bleiben. Gemäss Principle 11 müssen Sie die FCA über alles informieren, was sie vernünftigerweise erwarten würde zu erfahren, einschliesslich eines wesentlichen Cyber-Vorfalls
Eidgenössische Finanzmarktaufsicht (FINMA)	FINMA-beaufsichtigte Institute	FINMA-Rundschreiben 05/2020 verlangt, dass Cyberangriffe auf kritische Werte innerhalb von 24 Stunden gemeldet werden, gefolgt von einem vollständigen Bericht innerhalb von 72 Stunden
Britische und EU-Datenschutz-Grundverordnung (DSGVO)	Jedes Unternehmen, das personenbezogene Daten verarbeitet	Eine Verletzung des Schutzes personenbezogener Daten, die ein Risiko für betroffene Personen darstellt, muss der Datenschutzbehörde innerhalb von 72 Stunden gemeldet werden

Führen Sie eine datierte Dokumentation darüber, wann Sie vom Bulletin erfahren haben, wann der Change freigegeben wurde, wann jede Appliance aktualisiert wurde und was die Kompromittierungsprüfung ergeben hat. Aufsichtsbehörden, Prüfer und Cyberversicherer werden danach fragen.

Wie DarkGuard unterstützen kann

Ein internes IT-Team oder ein Anbieter kann das Update in der Regel einspielen. Festzustellen, ob zuvor ein Angreifer eingedrungen ist, und eine Dokumentation zu erstellen, die einer Prüfung durch Verwaltungsrat und Regulatoren standhält, erfordert oft spezialisierte Unterstützung. DarkGuard bietet:

• Kompromittierungsprüfung. Eine Überprüfung Ihrer Appliances, Logs und Netzwerkaktivität mit einer klaren Einschätzung, ob ein Zugriff stattgefunden hat und was als Nächstes zu tun ist.
• Unterstützung bei der Behebung. Planung und Priorisierung von Upgrades über Hochverfügbarkeitspaare und Cluster hinweg, in Zusammenarbeit mit Ihrem Team oder Anbieter, um den Fernzugriff dort verfügbar zu halten, wo Ihre Konfiguration dies erlaubt.
• Dokumentation für Verwaltungsrat und Regulatoren. Eine verwaltungsratsreife Zusammenfassung sowie ein Nachweisdossier zur Unterstützung Ihrer Meldeentscheidungen unter DORA, NIS2, FCA oder FINMA.
• Incident Response. Finden wir Hinweise auf eine Kompromittierung, übernimmt unser Senior-Team die Eindämmung und Wiederherstellung. Es hat Incident Response und Übungen auf Verwaltungsratsebene für Organisationen mit einem Wert von über 220 Milliarden US-Dollar durchgeführt, in den Bereichen Banking, Versicherung, Energie und kritische Infrastruktur.

Unser Einsatz endet, wenn jede Appliance auf einem behobenen Release läuft und die Nachweise dokumentiert sind.

Kontaktieren Sie unser Advisory and Response Desk

Wenn Sie eine Kompromittierung vermuten oder eine Einschätzung bzw. Beratung wünschen, kontaktieren Sie uns:

• Schweiz: +41 41 560 03 50
• Grossbritannien: +44 20 4570 6550
• E-Mail: incident@darkguard.com

Technische Details für IT- und Sicherheitsteams

Quelle: Citrix-Sicherheitsbulletin CTX697096, veröffentlicht am 27. September 2026. Das Bulletin umfasst acht Common-Vulnerabilities-and-Exposures(CVE)-Einträge, CVE-2026-88771 bis CVE-2026-88778.

Ausgenutzte Schwachstellen

• CVE-2026-88771: Remote Code Execution durch unzureichende Eingabevalidierung. Keine Authentifizierung erforderlich. Betrifft alle Deployments in der Standardkonfiguration. Common Vulnerability Scoring System (CVSS) v4.0 Score 9,5.
• CVE-2026-88772: Speicherüberlauf, der zu Remote Code Execution oder Denial of Service führt. Erfordert Datagram Transport Layer Security (DTLS), das standardmässig auf VPN-Virtual-Servern aktiviert ist. CVSS v4.0 Score 9,5

Behobene Releases

• NetScaler ADC und NetScaler Gateway 14.1-73.37 und neuer
• NetScaler ADC und NetScaler Gateway 13.1-64.23 und neuer
• NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS und neuer
• NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.279 und neuer

Weitere in denselben Releases behobene Schwachstellen

• CVE-2026-88773: HTTP Request Smuggling (9,3)
• CVE-2026-88774: Policy-Umgehung über HTTP-URL-Ausdrücke (7,0)
• CVE-2026-88775 bis CVE-2026-88777: Speicherüberläufe, die Denial of Service verursachen (je 8,8)
• CVE-2026-88778: Vorhersagbarkeit der TCP Initial Sequence Number (ISN) (8,8). Das Upgrade allein behebt dies nicht. Aktivieren Sie die erweiterte ISN-Generierung wie in der TCP-Konfigurationsdokumentation von NetScaler beschrieben

DarkGuard-Empfehlungen über das Bulletin hinaus

• Sehen Sie Anzeichen einer Kompromittierung, sichern Sie vor dem Upgrade ein forensisches Abbild der Appliance, da das Upgrade Beweise überschreiben kann. Erledigen Sie dies innerhalb weniger Stunden, damit das Upgrade nicht verzögert wird.
• Beenden Sie nach dem Upgrade aktive Sitzungen. Die von NetScaler für frühere Vorfälle veröffentlichten Befehle umfassen kill aaa session -all und kill icaconnection -all.
• Rotieren Sie das Lightweight-Directory-Access-Protocol(LDAP)-Bind-Konto, lokale Administratorkonten einschliesslich nsroot sowie alle in der Konfiguration gespeicherten Zugangsdaten.
• Achten Sie auf unbekannte Dateien in webseitig bereitgestellten Verzeichnissen, neue oder geänderte Administratorkonten, unerwartete geplante Aufgaben sowie ausgehende Verbindungen von der Appliance.
• Lokale Logs auf der Appliance rotieren schnell — rufen Sie historische Logs daher von Ihrer SIEM-Plattform (Security Information and Event Management) oder Ihrem Syslog-Server ab.