Update: weitere Sicherheitslücke BSI meldet aktive Angriffe auf NetScaler-Schwachstelle

Anbieter zum Thema

cidaas by Widas ID GmbH

Das BSI warnt vor der aktiven Ausnutzung einer Schwachstelle in NetScaler ADC und Gateway. Dieser Authentifizierungs-Bypass kann unter bestimmten Konfigurationen einen Zugriff ohne Anmeldung ermöglichen. Auch eine weitere Sicherheitslücke sollte gepatcht werden.

Nachdem das Bundesamt für Sicherheit in der Informationstechnik am 20. August 2026 zwei Schwachstellen in Citrix Systems NetScaler in die Liste seiner aktuellen Sicherheitshinweise aufgenommen hat, wurde die Meldung am 7. Septemebr aktualisiert. Mit einer wichtigen Ergänzung: Eine der Sicherheitslücken wird aktiv ausgenutzt. Mittlerweile wird noch eine weitere Sicherheitslücke in ADC und Gateway als Einstieg für Angriffe verwendet.

Alte Sicherheitslücke ausgenutzt

Owncloud-Schwachstelle mit hohem EPSS-Score

Authentifizierung über alternativen Zugriffspfad umgehen

Bei den ersten beiden NetScaler-Schwachstellen handelt es sich um EUVD-2026-62394 / CVE-2026-19489 (CVSS-Score 8.8, EPSS-Score^* 3.20) und EUVD-2026-62395 / CVE-2026-19490 (CVSS-Score 9.3, EPSS-Score 23.16). Beide finden sich in NetScaler ADC und Gateway. Letzteres ermöglicht unter anderem den Fernzugriff per SSL-VPN. ADC dient der Bereitstellung, Steuerung und Absicherung von Anwendungen.

Am gefährlichsten ist EUVD-2026-62395 / CVE-2026-19490, da sie dem BSI nach aktiv ausgenutzt wird. Das Bundesamt verweist auf einen Beitrag von Previdian, Anbieter einer Plattform für Schwachstellen- und Exploit-Intelligence. Die Schwachstelle beschreibt einen Authentifizierungs-Bypass über einen alternativen Zugriffspfad. Voraussetzung für die erfolgreiche Ausnutzung ist, dass die Appliance als Gateway für SSL-VPN, ICA Proxy, CVPN oder RDP Proxy oder als AAA Virtual Server konfiguriert ist. Gateway 14.1 ≤73.32 und 13.1 ≤63.21 sowie ADC 13.1 ≤63.21 und 14.1 ≤73.32 sind davon betroffen. Am 9. September hat auch die CISA die Schwachstelle als aktiv ausgenutzt gemeldet und gab US-Behörden bis zum 12. September Zeit, die Schwachstelle zu beheben.

Previdian habe zwischen dem 3. und 7. September 2026 insgesamt 18 passende Aus­nut­zungs­ver­su­che registriert. Diese kamen laut Previdian von neun unterschiedlichen IP-Adressen. Am 2. September habe der Anbieter einen öffentlichen Proof of Concept auf GitHub veröffentlicht, der jedoch von Previdian selbst als nicht verifiziert gekennzeichnet wurde.

Welche Konfiguration konkret betroffen ist, hängt vom verwendeten Versionsstand ab. Bei NetScaler 14.1 ab Build 14.1-43.56 sowie bei 13.1 ab Build 13.1-61.28 ist zusätzlich eine kon­fi­gu­rier­te SAML-Aktion erforderlich. Bei älteren 14.1- und 13.1-Builds genügt eine Gateway- oder AAA-Virtual-Server-Konfiguration. NetScaler 13.1 FIPS ist bei einer solchen Gateway- oder AAA-Konfiguration betroffen.

In NetScaler ADC und Gateway

Citrix veröffentlicht Notfall-Patches für kritische Schwachstellen

Speicherüberlauf bei aktiviertem SIP ALG

EUVD-2026-62394 / CVE-2026-19489 beschreibt einen Speicherüberlauf. Die Sicherheitslücke kann unvorhersehbares oder fehlerhaftes Verhalten der Appliance sowie einen Denial-of-Service-Zustand verursachen. Die Schwachstelle ist nur unter einer spezifischen Vo­r­aus­set­zung ausnutzbar. SIP ALG muss für eine Large-Scale-NAT-Gruppe aktiviert sein. SIP ALG (Session Initiation Protocol Application Layer Gateway) unterstützt die Verarbeitung bestimmter VoIP-Verbindungen durch NAT-Systeme.

Betroffen davon sind Gateway-Versionen 14.1 ≤73.32 und 13.1 ≤63.21 sowie ADC-Versionen 13.1 ≤63.21 und 14.1 ≤73.32. Betreiber können die Angriffsvoraussetzungen anhand ihrer Kon­fi­gu­ra­ti­on prüfen. Für EUVD-2026-62394 / CVE-2026-19489 nennt Citrix im Security Advisory den Eintrag „add lsn group.*sipalg.*“ als Hinweis auf eine aktivierte SIP-ALG-Konfiguration in einer Large-Scale-NAT-Gruppe. Bei EUVD-2026-62395 / CVE-2026-19490 sollten Administratoren auf SAML-Aktionen sowie auf Einträge für Authentifizierungs- oder VPN-Virtual-Server achten, etwa „add authentication samlAction.*“, „add authentication vserver .*“ oder „add vpn vserver .*“.

Dem Advisory nach sind keine Workarounds verfügbar, weswegen Nutzer die aktuellen Builds unverzüglich installieren sollten. Citrix-verwaltete Cloud-Dienste und Citrix-verwaltete Adaptive Authentication aktualisiert der Hersteller nach eigenen Angaben selbst.

Die Versionen, in denen die Schwachstellen behoben wurden, sind:

• NetScaler ADC und NetScaler Gateway 14.1-73.32 und spätere Releases

• NetScaler ADC und NetScaler Gateway 13.1-63.21 und spätere Releases der Version 13.1

• NetScaler ADC 14.1-FIPS 14.1-73.32 FIPS und spätere Releases der Version 14.1-FIPS

• NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.277 und spätere Releases der Versionen 13.1-FIPS und 13.1-NDcPP

Gezielte Angriffe

Apple schließt ausgenutzte iOS-Schwachstelle

Neue Memory-overflow-Schwachstelle

Wer EUVD-2026-62395 / CVE-2026-19490 und EUVD-2026-62394 / CVE-2026-19489 bereits gepatcht hat, sollte sich nicht in Sicherheit wiegen. Sondern sollte prüfen, ob auch die neu hinzugekommene NetScaler-Schwachstelle behoben ist. EUVD-2026-92065 / CVE-2026-88779 (CVSS-Score 8.7, EPSS-Score 0.28) ist ein Speicherüberlauf, der zu einem Denial of Service führen kann. Die Schwachstelle wird bereits aktiv ausgenutzt. Betroffen sind laut Citrix Appliances, die als SAML Service Provider (SP) oder SAML Identity Provider (IdP) konfiguriert sind. Auch Hybrid-Bereitstellungen von Secure Private Access mit NetScaler-Instanzen sind betroffen.

Die Schwachstelle betrifft folgende Versionen:

• NetScaler ADC: Version 14.1 vor 14.1-73.41, 14.1-FIPS vor 14.1-73.41 FIPS, Version 13.1 vor 13.1-64.28 sowie ADC 13.1-FIPS und 13.1-NDcPP vor 13.1-37.282

• NetScaler Gateway: Version 14.1 vor 14.1-73.41 und Version 13.1 vor 13.1-64.28

Hersteller Citrix weist explizit darauf hin, auch Hybrid-Bereitstellungen von Secure Private Access, die NetScaler-Instanzen nutzen, von der Schwachstelle betroffen sind. Kunden müssen diese NetScaler-Instanzen auf die empfohlenen NetScaler-Builds aktualisieren, um sie zu beheben.

Die gefixten Versionen sind:

• NetScaler ADC und NetScaler Gateway 14.1-73.41 und später

• NetScaler ADC und NetScaler Gateway 13.1-64.28 und später

• NetScaler ADC 14.1-FIPS 14.1-73.41 FIPS und später

• NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.282 und später

Ob ihre NetScaler-Bereitstellung von dem Problem betroffen ist, können Nutzer feststellen, indem sie die Konfiguration auf Einträge prüfen, die einem der folgenden Punkte entsprechen:

• Die Appliance ist als SAML-SP konfiguriert „add authentication samlAction“

• Die Appliance ist als SAML-IdP konfiguriert „add authentication samlIdPProfile“

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Buffer Overflow

Linux patcht Speicherfehler im IPv6-Netzwerk-Stack

(ID:50947640)