Citrix NetScaler – Speicherleck bei SAML-IdP und vertauschte Sitzungen (CVE-2026-3055/4368)

Update vom 22. Oktober 2026

Wir haben dieses Advisory korrigiert: Die bisher genannten Patch-Versionen waren falsch. Massgeblich sind die Versionen aus dem Citrix-Bulletin CTX696300 (unten). Ausserdem betrifft CVE-2026-3055 nur Geräte mit SAML-IdP-Konfiguration und CVE-2026-4368 laut Citrix nur Build 14.1-66.54. CVE-2026-3055 steht inzwischen im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA.

Was ist passiert?

Citrix hat am 23. März 2026 zwei Schwachstellen in NetScaler ADC und Gateway veröffentlicht:

• ▸CVE-2026-3055 (CVSS 9.3): Eine unzureichende Eingabeprüfung führt dazu, dass der NetScaler mehr Daten aus dem Arbeitsspeicher zurückgibt als vorgesehen. Dabei können Session-Tokens, Schlüssel oder andere Geheimnisse abfliessen. Betroffen sind nur Geräte, die als SAML-Identity-Provider (SAML-IdP) konfiguriert sind. Die Lücke wird aktiv ausgenutzt.
• ▸CVE-2026-4368 (CVSS 7.7): Eine Race Condition kann dazu führen, dass Benutzersitzungen vertauscht werden: Ein Benutzer landet in der Sitzung eines anderen. Betroffen ist laut Citrix nur Build 14.1-66.54, wenn das Gerät als Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder AAA-Server konfiguriert ist.

Wen betrifft es?

• ▸CVE-2026-3055: NetScaler ADC und Gateway 14.1 vor 14.1-60.58, 13.1 vor 13.1-62.23 sowie 13.1-FIPS/NDcPP vor 13.1-37.262 – jeweils nur mit SAML-IdP-Konfiguration. Prüfen lässt sich das in der Konfiguration mit der Suche nach add authentication samlIdPProfile.
• ▸CVE-2026-4368: Nur Build 14.1-66.54 mit Gateway- oder AAA-Konfiguration (add vpn vserver bzw. add authentication vserver).
• ▸Nicht mehr unterstützte Versionen wie 12.1 und 13.0 erhalten keine Sicherheitsupdates und sollten ersetzt werden.

Was ist zu tun?

1. ▸Updaten: Aktualisiere auf 14.1-60.58, 14.1-66.59 oder neuer, 13.1-62.23 oder neuer bzw. 13.1-FIPS/NDcPP 13.1-37.262 oder neuer. Cloud-Dienste von Citrix wurden vom Hersteller selbst aktualisiert.
2. ▸Sitzungen beenden: Da bei CVE-2026-3055 Session-Tokens abgeflossen sein könnten, empfehlen wir als Vorsichtsmassnahme, nach dem Update alle aktiven Sitzungen zu beenden (z.B. kill icaconnection -all) und eine neue Anmeldung zu erzwingen.
3. ▸Auf Kompromittierung prüfen: Wurde das Gerät als SAML-IdP betrieben und erst spät gepatcht, prüfe die Logs auf ungewöhnliche Anmeldungen und Sitzungen.
4. ▸Management-Zugang absichern: Stelle sicher, dass die Management-Schnittstelle (NSIP) nicht aus dem Internet erreichbar ist.
5. ▸MFA prüfen: Prüfe, ob Multi-Faktor-Authentifizierung flächendeckend aktiv ist, um das Risiko durch gestohlene Session-Tokens zu verringern.

---

Dieses Advisory dient der Information. Für Unterstützung bei der Absicherung deiner Citrix-Infrastruktur kontaktiere uns.