Citrix NetScaler Sicherheitslücke CVE-2026-88771: Codeausführung ohne Login

Die Citrix NetScaler Sicherheitslücke CVE-2026-88771 trifft betroffene NetScaler-ADC- und -Gateway-Versionen bereits in der Standardkonfiguration – ohne Login, ohne Zutun eines Nutzers, mit Codeausführung als Ergebnis. Citrix hat das Advisory am 27. September 2026 veröffentlicht und bestätigt darin selbst, dass die Lücke angegriffen wird. Zusammen mit CVE-2026-88772 steht sie seit demselben Tag im KEV-Katalog der US-Behörde CISA.

Was Citrix veröffentlicht hat

Das Security Bulletin CTX697096 listet acht Schwachstellen in NetScaler ADC und NetScaler Gateway. Zwei davon stechen heraus:

• CVE-2026-88771 – Remote Code Execution durch mangelhafte Eingabeprüfung (CWE-20). Ein nicht angemeldeter Angreifer kann beliebige Befehle ausführen. CVSS v4.0: 9.5. Vorbedingung laut Citrix: keine. Jede betroffene Installation ist in Standardkonfiguration verwundbar.
• CVE-2026-88772 – Speicherüberlauf (CWE-119), der zu Codeausführung oder Denial of Service führt. CVSS v4.0: ebenfalls 9.5, allerdings mit höherer Angriffskomplexität im Vektor. Vorbedingung: aktiviertes DTLS – und das ist auf einem VPN-vServer standardmäßig an, solange es nicht ausdrücklich abgeschaltet wurde.

Die übrigen sechs Einträge (CVE-2026-88773 bis CVE-2026-88778) decken HTTP Request Smuggling, einen Policy-Bypass, drei weitere Speicherüberläufe und vorhersagbare TCP-Sequenznummern ab; ihre Bewertungen liegen darunter, im hohen bis kritischen Bereich. Fehlerbereinigt sind die Builds 14.1-73.37, 13.1-64.23, 14.1-73.37 FIPS sowie 13.1-37.279 für FIPS und NDcPP. Ältere Stände der Zweige 14.1 und 13.1 sind verwundbar; von Citrix selbst betriebene Cloud-Dienste und Adaptive Authentication nimmt der Hersteller aus. Secure-Private-Access-Hybrid-Installationen mit eigenen NetScaler-Instanzen sind dagegen betroffen.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Angriffe liefen vor dem Patch

Citrix formuliert es im Bulletin knapp: Ausnutzung von CVE-2026-88771 und CVE-2026-88772 auf ungeschützten Systemen wurde beobachtet. CISA stuft beide als aktiv ausgenutzte Zero-Days ein und setzt US-Bundesbehörden eine Frist bis zum 30. September 2026. Details zum Angriffsablauf halten sich die Hersteller bislang zurück – Palo Alto Unit 42 schreibt ausdrücklich, es lägen noch keine näheren Angaben zur Exploit-Aktivität vor. Von Webshells auf gekaperten Appliances berichtet Help Net Security unter Berufung auf den Sicherheitsforscher Kevin Beaumont und das niederländische NCSC; dieselbe Quelle spricht von Angriffen, die schon Wochen vor dem Advisory liefen. Das ist eine Zuschreibung durch Dritte, keine Herstellerbestätigung – aber sie passt zum Bild eines Zero-Days.

Was das für dich bedeutet

Wer NetScaler betreibt, kennt dieses Muster. Ich habe die Vorgänger hier begleitet, zuletzt die NetScaler-Lücke CVE-2026-19490. Es ist nicht der erste NetScaler-Eintrag im KEV-Katalog in diesem Jahr, und die Lehre wiederholt sich: Ein Gateway steht per Definition im Internet, terminiert Sessions und kennt Anmeldedaten. Fällt es, fällt nicht nur ein Gerät, sondern der Zugangsweg ins interne Netz.

Zwei Punkte sind an dieser Runde besonders unangenehm. Erstens hat CVE-2026-88771 keine Vorbedingung. Die übliche Entlastung „bei uns ist das Feature gar nicht konfiguriert“ greift hier nicht. Zweitens waren die Angriffe vor dem Patch aktiv. Ein Update beantwortet deshalb nicht die Frage, ob das Gerät bereits kompromittiert war.

Aus CISO-Sicht heißt das: Patchen ist Schritt eins, nicht der Abschluss. Wer nach einem Gateway-Vorfall nur aktualisiert, übernimmt hinterlegte Hintertüren, fremde Schlüssel und laufende Sitzungen in den neuen Zustand.

Konkrete Schritte für Admins

• Spuren sichern, bevor du patchst. Snapshot der VPX, Support-Bundle, Logs und Syslog-Kopien wegschreiben. Das Update überschreibt sonst genau die Daten, die eine spätere Analyse braucht.
• Sofort aktualisieren auf 14.1-73.37, 13.1-64.23 beziehungsweise die genannten FIPS- und NDcPP-Builds. Die CISA-Frist zum 30. September ist zwar nur für US-Behörden bindend – als eigener Maßstab für das Patchfenster taugt sie trotzdem.
• DTLS prüfen: In der Konfiguration nach VPN-vServern ohne -dtls OFF und nach vServern vom Typ DTLS suchen. Fehlt der Schalter, ist DTLS aktiv.
• CVE-2026-88778 gesondert behandeln: Hier reicht das Update nicht. Mit show ns tcpparam | grep "Enhanced ISN Generation" den Status prüfen und die Funktion einschalten, falls sie deaktiviert ist.
• Nach Kompromittierung suchen: Dateisystem auf unbekannte Skripte prüfen, Konfigurationsstände vergleichen, Logs auf ungewöhnliche Requests ansehen. Citrix hat dafür einen begleitenden Blogbeitrag mit Indicators of Compromise sowie eine eigene Anleitung für den Verdachtsfall veröffentlicht.
• Sessions und Geheimnisse erneuern: Aktive Sitzungen beenden, Zertifikate und lokal hinterlegte Zugangsdaten tauschen, wenn das Gerät exponiert war und länger ungepatcht lief.
• Management-Oberfläche vom Internet trennen – der Dauerbrenner, der bei jedem Gateway-Vorfall wieder auftaucht.

Für kleine Betriebe ohne eigenes Security-Team gilt die einfachste Variante: Wer NetScaler von einem Dienstleister betreiben lässt, fordert heute schriftlich den Patchstand und das Ergebnis einer Kompromittierungsprüfung an. Eine mündliche Zusage „ist aktuell“ reicht bei einem ausgenutzten Zero-Day nicht.

Quellen

• Citrix Security Bulletin CTX697096 (27.09.2026)
• CISA: Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway (27.09.2026)
• Palo Alto Unit 42: NetScaler Zero Days Exploited in the Wild (28.09.2026)
• Help Net Security: Citrix NetScaler RCE zero-days exploited for weeks (28.09.2026)