Citrix NetScaler: Aktive Ausnutzungsversuche gegen kritische Authentifizierungslücke CVE-2026-19490
Für die kritische Authentifizierungsumgehung CVE-2026-19490 in Citrix NetScaler ADC und Gateway wurden laut BleepingComputer bereits PoC-artige Angriffsversuche beobachtet. Citrix hat am 19.08.2026 gepatchte Builds veröffentlicht, Admins sollten die Patches umgehend prüfen.
Für Citrix NetScaler ADC und NetScaler Gateway existiert seit dem 19.08.2026 ein Advisory zu CVE-2026-19490, einer kritischen Authentifizierungsumgehung über einen alternativen Pfad. Betroffen sind Geräte, die als Gateway konfiguriert sind, also für SSL VPN, ICA Proxy, CVPN oder RDP Proxy, sowie Geräte mit einem AAA-vServer, abhängig von Firmware und SAML-Konfiguration. Der Angriff funktioniert remote und ohne Authentifizierung, SecurityWeek bewertet die Lücke mit einem CVSS-Wert von 9.3. Citrix stellt gepatchte Builds bereit, unter anderem 14.1-73.32, 13.1-63.21, die FIPS-Variante 14.1-73.32 sowie 13.1-FIPS/NDcPP 13.1-37.277.
Am 04.09.2026 berichtete BleepingComputer, dass PoC-artige Requests gegen NetScaler-Systeme aus drei IP-Adressen beobachtet wurden, mit Ursprung in Australien, den USA und Deutschland. Bestätigte erfolgreiche Kompromittierungen liegen bisher nicht vor, das ist ausdrücklich unsicher und muss so kommuniziert werden. Shadowserver zählte über 22.000 öffentlich erreichbare NetScaler-ADC-Instanzen und fast 1.700 Gateway-Instanzen, wie viele davon tatsächlich ungepatcht und damit verwundbar sind, ist unklar. Für Unternehmen mit NetScaler-Gateways bedeutet das: heute prüfen, welche Firmware-Version im Einsatz ist, und den Patch nicht auf das nächste Wartungsfenster verschieben. Wer die Fix-Builds bereits installiert hat, ist nach aktuellem Kenntnisstand nicht mehr über diesen Pfad angreifbar.
Was ist passiert?
Citrix hat am 19.08.2026 ein Security Advisory zu CVE-2026-19490 veröffentlicht. Die Schwachstelle erlaubt eine Authentifizierungsumgehung über einen alternativen Pfad oder Kanal. Ein Angreifer kann demnach ohne gültige Anmeldedaten und ohne lokalen Zugriff auf bestimmte Funktionen zugreifen, die eigentlich eine Authentifizierung voraussetzen. Am 04.09.2026 meldete BleepingComputer, dass Sicherheitsforscher bereits PoC-artige Requests beobachtet haben, die gezielt versuchen, diesen Umgehungsmechanismus auszunutzen. Rapid7 ordnet die Lücke in einem eigenen Blogbeitrag als kritische Schwachstelle für NetScaler ADC und NetScaler Gateway ein und verweist auf die Notwendigkeit einer schnellen Patch-Anwendung.
Wer ist betroffen?
Betroffen sind NetScaler-ADC- und NetScaler-Gateway-Geräte, die als Gateway genutzt werden, etwa für SSL VPN, ICA Proxy, CVPN oder RDP Proxy. Ebenso betroffen sind Geräte mit einem konfigurierten AAA-vServer. Ob ein konkretes System angreifbar ist, hängt von der installierten Firmware-Version und von der jeweiligen SAML-Konfiguration ab. Reine Load-Balancing-Konfigurationen ohne Gateway- oder AAA-vServer-Funktion sind nach aktuellem Kenntnisstand nicht über diesen Pfad angreifbar, sollten aber trotzdem zeitnah aktualisiert werden.
- NetScaler ADC und NetScaler Gateway als Gateway für SSL VPN
- NetScaler ADC und NetScaler Gateway als Gateway für ICA Proxy
- NetScaler ADC und NetScaler Gateway als Gateway für CVPN
- NetScaler ADC und NetScaler Gateway als Gateway für RDP Proxy
- Geräte mit konfiguriertem AAA-vServer, abhängig von Firmware und SAML-Einstellungen
Wie kritisch ist das?
SecurityWeek nennt einen CVSS-Wert von 9.3, was die Schwachstelle in den kritischen Bereich einordnet. Die Kombination aus Remote-Ausnutzbarkeit, fehlender Authentifizierungsanforderung und dem exponierten Einsatzszenario als Internet-facing Gateway macht CVE-2026-19490 zu einer der dringlicheren NetScaler-Lücken des Jahres. Erschwerend kommt hinzu, dass laut Shadowserver über 22.000 NetScaler-ADC-Instanzen und fast 1.700 Gateway-Instanzen weltweit öffentlich aus dem Internet erreichbar sind. Wie viele davon konkret ungepatcht und damit tatsächlich verwundbar sind, lässt sich aus diesen Zahlen allein nicht ableiten. Die von BleepingComputer gemeldeten PoC-artigen Requests aus drei Ländern zeigen, dass Angreifer die Lücke bereits aktiv testen, auch wenn bislang keine bestätigten erfolgreichen Kompromittierungen bekannt sind. Diese Unsicherheit sollte nicht dazu führen, das Thema zu vertagen: Bei ähnlichen NetScaler-Lücken in der Vergangenheit folgten produktive Exploits oft innerhalb weniger Tage nach öffentlicher Bekanntgabe.
| Angabe | Wert |
|---|---|
| CVE-ID | CVE-2026-19490 |
| Schwachstellentyp | Authentifizierungsumgehung über alternativen Pfad |
| CVSS-Score | 9.3 (laut SecurityWeek) |
| Angriffsvoraussetzung | Remote, keine Authentifizierung nötig |
| Advisory-Datum | 19.08.2026 |
| Erste Meldung aktiver Testversuche | 04.09.2026 (BleepingComputer) |
| Fix-Build 14.1 | 14.1-73.32 |
| Fix-Build 13.1 | 13.1-63.21 |
| Fix-Build FIPS | 14.1-73.32 FIPS |
| Fix-Build FIPS/NDcPP 13.1 | 13.1-37.277 |
Was sollten Admins jetzt tun?
- Firmware-Version aller NetScaler-ADC- und NetScaler-Gateway-Instanzen im eigenen Inventar prüfen.
- Prüfen, ob die Geräte als Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder mit AAA-vServer konfiguriert sind.
- Auf die von Citrix genannten Fix-Builds aktualisieren: 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS oder 13.1-37.277 für FIPS/NDcPP.
- Nach dem Patch prüfen, ob die tatsächlich installierte Build-Nummer mit der erwarteten Fix-Version übereinstimmt.
- Zugriffslogs und Authentifizierungslogs auf ungewöhnliche Requests gegen Gateway- und AAA-Endpunkte durchsuchen.
- Prüfen, ob das eigene NetScaler-System öffentlich aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken.
- Bestehende Sitzungen und Tokens nach dem Patch prüfen, insbesondere bei Systemen mit SAML-Anbindung.
- Advisories von Citrix und die eigenen Change-Management-Prozesse abgleichen, um den Patch nicht zu verzögern.
- Monitoring für NetScaler-Systeme kurzfristig verschärfen, solange keine abschließende Klarheit über erfolgreiche Angriffe besteht.
- Notfallplan prüfen, falls ein betroffenes System als kritischer VPN- oder Remote-Access-Zugang dient.
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen mit eigenem NetScaler-Gateway ist diese Meldung unmittelbar relevant, wenn das Gerät als VPN-Zugang, ICA-Proxy für Citrix-Virtual-Apps-Umgebungen oder als RDP-Proxy dient. Solche Systeme sind typischerweise bewusst aus dem Internet erreichbar, damit Mitarbeiter von außen zugreifen können, und genau das macht sie zu einem attraktiven Ziel. Unternehmen, die NetScaler ausschließlich für internes Load Balancing ohne Gateway- oder AAA-Funktion einsetzen, sind nach aktuellem Kenntnisstand nicht über diesen spezifischen Pfad angreifbar, sollten die Fix-Builds aber trotzdem zeitnah einspielen, da weitere Lücken in NetScaler in der Vergangenheit wiederholt aktiv ausgenutzt wurden. Angesichts der bereits beobachteten PoC-artigen Testversuche aus mehreren Ländern sollte der Patch nicht auf das nächste reguläre Wartungsfenster verschoben werden, sondern kurzfristig eingeplant werden.
NetScaler-Umgebungen waren in den vergangenen Monaten wiederholt von kritischen Schwachstellen betroffen. Zwei frühere S-EDV-Artikel ordnen ähnliche Fälle ein und liefern zusätzlichen Hintergrund zum Umgang mit NetScaler-Sicherheitslücken.
- CVE-2026-8452: Citrix-NetScaler-Lücke wird nach PoC-Veröffentlichung akut – Einordnung einer früheren NetScaler-Schwachstelle nach Veröffentlichung eines Proof of Concept.
- CVE-2026-8451: SAML-Memory-Overread in Citrix NetScaler (CitrixBleed) – Hintergrund zu einer ähnlich gelagerten SAML-bezogenen NetScaler-Schwachstelle.
