Citrix NetScaler – 28 Speicherfehler, einer davon in jeder Konfiguration (CVE-2026-120868 u.a.)
Citrix hat 28 Schwachstellen in NetScaler ADC und Gateway geschlossen. Mehrere lassen sich ohne Anmeldung aus dem Netz ausnutzen, eine davon betrifft jedes Gerät – auch in der Standardkonfiguration. Noch werden die Lücken nicht ausgenutzt, das dürfte sich aber schnell ändern. Einen Workaround gibt es nicht, nur das Update hilft.
Was ist passiert?
Citrix hat am 12. November 2026 im Bulletin CTX697305 insgesamt 28 Schwachstellen in NetScaler ADC und Gateway veröffentlicht. Fast alle sind Speicherfehler, die laut Citrix zu „unvorhersehbarem Verhalten oder Denial of Service" führen. Bei mehreren Lücken stuft Citrix in der CVSS-Bewertung aber auch die Auswirkungen auf Vertraulichkeit und Integrität als hoch ein – mehr als ein Absturz ist also nicht ausgeschlossen.
Die wichtigsten Lücken:
- CVE-2026-120868 (CVSS 9.3): Ein Speicherfehler in der Paketverarbeitung. Betroffen ist jedes NetScaler-Gerät, auch in der Standardkonfiguration. Eine Anmeldung ist nicht nötig.
- CVE-2026-107412 (CVSS 9.5): Mehrere Speicherfehler auf Geräten, die als Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder AAA-Server laufen – also genau die Geräte, die typischerweise am Internet hängen.
- CVE-2026-120864 und CVE-2026-111334 (je CVSS 9.3): Speicherfehler im ICA Proxy bzw. in der Endpoint Analysis (EPA), ebenfalls auf Gateway- und AAA-Geräten.
- CVE-2026-107415 (CVSS 9.3): Speicherfehler bei der Anmeldung mit Email-OTP.
Die übrigen Lücken betreffen nur Geräte, auf denen bestimmte Funktionen aktiv sind, etwa SAML, LDAP, Client-Zertifikate, HTTP/2, HTTP/3, DNS bzw. DNS-over-HTTPS, die Application Firewall oder BGP. Eine weitere Lücke (CVE-2026-111338) schreibt Anmeldedaten in ein Logfile auf dem Gerät.
Laut Citrix werden die Lücken noch nicht ausgenutzt, und es gibt keinen öffentlichen Exploit. Bei NetScaler hat sich das in der Vergangenheit aber oft innerhalb weniger Tage geändert.
Wen betrifft es?
- NetScaler ADC und Gateway 14.1 vor 14.1-73.57
- NetScaler ADC und Gateway 13.1 vor 13.1-64.39
- NetScaler ADC 14.1-FIPS vor 14.1-73.58 FIPS
- NetScaler ADC 13.1-FIPS und 13.1-NDcPP vor 13.1-37.293
- Secure Private Access Hybrid, sofern NetScaler-Instanzen im Einsatz sind
Wegen CVE-2026-120868 bringt es nichts, die Konfiguration zu prüfen: Jedes Gerät mit einer älteren Version ist betroffen. Cloud-Dienste und Adaptive Authentication von Citrix werden vom Hersteller selbst aktualisiert.
Nicht mehr unterstützte Versionen wie 12.1 und 13.0 erhalten keine Updates und sollten ersetzt werden.
Was ist zu tun?
- Updaten: Aktualisiere auf 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS bzw. 13.1-37.293 FIPS/NDcPP oder neuer. Beginne mit den Geräten, die als Gateway oder AAA-Server aus dem Internet erreichbar sind.
- Management-Zugang absichern: Eine der Lücken (CVE-2026-120863) betrifft die Management-Schnittstelle. Stelle sicher, dass die NSIP nicht aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist.
- Logfile bereinigen: Wegen CVE-2026-111338 können Anmeldedaten in
/var/log/httperror.logstehen. Prüfe, wer Zugriff auf das Gerät hat, und lösche bzw. rotiere das Log nach dem Update. - Auf Auffälligkeiten achten: Unerwartete Abstürze oder Neustarts des NetScalers können ein Hinweis auf Angriffsversuche sein. Prüfe die Logs bis zum Update regelmässig.
Dieses Advisory dient der Information. Für Unterstützung bei der Absicherung deiner Citrix-Infrastruktur kontaktiere uns.
Bereit, deine Angriffsfläche zu kennen?
Erzähl uns kurz von deinem Vorhaben. Wir melden uns mit einem konkreten Vorschlag.
Erstgespräch anfragen