CitrixBleed Sicherheitslücke CVE-2026-8451: NetScaler in 24 Stunden angegriffen

Die CitrixBleed Sicherheitslücke CVE-2026-8451 ist zurück in bekannter Form: Sie erlaubt es Angreifern, Speicherinhalte direkt aus einem NetScaler-System auszulesen. Citrix veröffentlichte den Patch am 30. Juni 2026. Nur 24 Stunden später starteten die ersten Angriffe. Wer NetScaler ADC oder Gateway betreibt, sollte jetzt handeln.

Was die CitrixBleed Sicherheitslücke CVE-2026-8451 gefährlich macht

Die Schwachstelle steckt im XML-Parser von NetScaler. Der Parser beendet unquotierte XML-Attributwerte nicht korrekt, wenn ihnen ein Zeilenumbruch folgt. Dadurch liest er über den vorgesehenen Puffer hinaus. NetScaler gibt die fremden Speicherinhalte anschließend im NSC_TASS-Cookie einer HTTP-Antwort zurück.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Für Angreifer ist das ein Geschenk. Sie brauchen keine Zugangsdaten. Die Attacke funktioniert vor der Authentifizierung. Voraussetzung ist nur, dass die Appliance als SAML-IdP konfiguriert ist. Aus dem Speicher lassen sich Session-Token, Zugangsdaten und andere sensible Fragmente fischen. Citrix bewertet die Lücke mit einem CVSS-Score von 8.8 und stuft sie als hoch riskant ein.

Angriffe binnen 24 Stunden nach dem Patch

Das Muster ist inzwischen bekannt. Kurz nachdem die Sicherheitsforscher von watchTowr Details und einen Detektions-Generator veröffentlicht hatten, begannen erste Angreifer, exponierte NetScaler-Instanzen abzutasten. Die Ausnutzung von CVE-2026-8451 startete damit innerhalb eines Tages nach der Offenlegung.

Das Grundproblem ist nicht neu. CitrixBleed, CitrixBleed 2 und jetzt CVE-2026-8451 zeigen dieselbe architektonische Schwäche. Sie tritt immer wieder in unterschiedlichen Parsern auf. Wer die Vorgänger kennt, weiß: Solche Speicherleck-Lücken werden schnell und breit ausgenutzt.

Diese NetScaler-Versionen sind betroffen

Betroffen sind laut Citrix folgende Versionen:

• NetScaler ADC und Gateway 14.1 vor 14.1-72.61
• NetScaler ADC und Gateway 13.1 vor 13.1-63.18

Wichtig: End-of-Life-Versionen erhalten keine Fixes mehr. Wer noch auf 12.1 oder 13.0 läuft, muss zwingend migrieren. Ein Patch allein reicht bei solchen Lücken oft nicht.

So schützt du deine Systeme jetzt

Handle in dieser Reihenfolge:

• Aktualisiere sofort auf 14.1-72.61 beziehungsweise 13.1-63.18 oder neuer.
• Beende nach dem Update alle aktiven Sitzungen. Denn ausgelesene Session-Token bleiben sonst gültig.
• Prüfe, ob deine Appliance als SAML-IdP läuft. Genau diese Konfiguration ist angreifbar.
• Durchsuche Logs nach ungewöhnlichen Anfragen an den XML-Parser und nach auffälligen NSC_TASS-Cookies.

Weil die Lücke Zugangsdaten und Session-Token preisgibt, lohnt sich ein zweiter Blick auf die Kontosicherheit. Eine starke Zwei-Faktor-Authentifizierung mit Hardware-Schlüsseln reduziert den Schaden gestohlener Passwörter deutlich. Praktische Tipps findest du in unserem Ratgeber zu Hardware-Security-Keys nach FIDO2-Standard.

Wie schnell Angreifer heute Edge-Systeme ins Visier nehmen, zeigte zuletzt auch die FortiClient-EMS-Sicherheitslücke. Der Trend ist eindeutig: Internet-facing Appliances sind das bevorzugte Einfallstor.

Fazit zur CitrixBleed Sicherheitslücke

CVE-2026-8451 ist kein neuer Trick, aber ein hochwirksamer. Die CitrixBleed Sicherheitslücke belegt erneut, wie riskant exponierte NetScaler-Systeme sind. Patche zügig, beende alle Sitzungen und überwache deine Logs. Wer wartet, riskiert den Diebstahl gültiger Zugangsdaten.

Quellen

• CyberScoop: Citrix patches a new NetScaler flaw with echoes of CitrixBleed
• SecurityWeek: New CitrixBleed Vulnerability Exploited Immediately After Public Disclosure
• watchTowr Labs: CitrixBleed To Infinity And Beyond (CVE-2026-8451)