Citrix NetScaler: 28 Lücken geschlossen, eine trifft jede Standardinstallation

Citrix hat am 12. November 2026 das Sicherheitsbulletin CTX697305 für NetScaler ADC und NetScaler Gateway veröffentlicht. Es behebt 28 Schwachstellen, neun davon mit einem CVSS-4.0-Wert von 9,3 oder höher. Eine der Lücken, CVE-2026-120868, betrifft laut Citrix jede Installation in der Standardkonfiguration. Korrigiert sind die Versionen 14.1-73.57 und 13.1-64.39 sowie 14.1-73.58 FIPS und 13.1-37.293 für 13.1-FIPS und 13.1-NDcPP.

Betroffen sind alle selbst betriebenen NetScaler-Appliances der unterstützten Reihen 14.1 und 13.1 einschließlich FIPS und NDcPP, auch Hybrid-Installationen von Secure Private Access. Von Citrix verwaltete Cloud-Dienste aktualisiert der Hersteller selbst. Angriffe sind bisher nicht bekannt, wegen der Standardkonfiguration und der Rolle als VPN-Gateway gehört das Update dennoch zeitnah eingeplant.

Was ist passiert?

Das Bulletin listet fast ausschließlich Speicherfehler in unterschiedlichen Komponenten: Paketverarbeitung, DNS und DNS-over-HTTPS, SAML, LDAP, WebAuth, E-Mail-OTP, Client-Zertifikate, Endpoint Analysis, HTTP/2, HTTP/3, ICA-Proxy, Application Firewall und Lastverteilung für Protokolle wie SMPP, RTSP, Diameter, MQTT und RADIUS. Citrix beschreibt die Folgen meist als unvorhersehbares Verhalten oder Denial of Service. Dazu kommt CVE-2026-111348: Authentifizierungsdaten können in der Logdatei /var/log/httperror.log landen, ausnutzbar nur mit lokalem Lesezugriff.

Gemeldet haben die Lücken unter anderem Forscher von JPMorgan Chase und watchTowr. Mehrere Fehler hat das Sicherheitsteam der Citrix-Mutter Cloud Software Group nach eigener Angabe mit KI-gestützter Code-Analyse gefunden. Laut heise ist es die erste Veröffentlichung in einem neuen monatlichen Rhythmus für NetScaler-Sicherheitsupdates.

Wer ist betroffen?

Für CVE-2026-120868 (CVSS 9,3) braucht es keine besondere Konfiguration. Die meisten übrigen Lücken setzen bestimmte Funktionen voraus. Besonders relevant für typische Firmenumgebungen:

• CVE-2026-107412 (CVSS 9,5): NetScaler als Gateway (SSL-VPN, ICA-Proxy, CVPN, RDP-Proxy) oder als AAA-Server.
• CVE-2026-120864 (CVSS 9,3): Gateway-, AAA- oder Content-Redirection-Server vom Typ HDX, also typische Citrix-Zugänge.
• CVE-2026-111344 (CVSS 9,3): Endpoint Analysis (EPA) an VPN- oder AAA-Servern.
• CVE-2026-107415 (CVSS 9,3): Anmeldung mit E-Mail-Aktion.
• CVE-2026-107408 und CVE-2026-107409 (je 9,3): DNS-Lastverteilung mit rekursiver Auflösung oder DNS-over-HTTPS.
• CVE-2026-120863 (CVSS 8,7): Speicherfehler in der Verwaltungsebene, erreichbar für jeden, der die NSIP-Adresse ansprechen kann.

Citrix nennt im Bulletin für die meisten Lücken Konfigurationszeilen, an denen Admins erkennen, ob ihre Appliance betroffen ist.

Wie kritisch ist das?

Die meisten Lücken sind ohne Anmeldung über das Netz erreichbar. Citrix spricht bei den Speicherfehlern nur von unvorhersehbarem Verhalten und Denial of Service. Mehrere CVSS-Vektoren bewerten aber auch Vertraulichkeit und Integrität als hoch. Ob sich einzelne Fehler zu Codeausführung ausbauen lassen, sagt Citrix nicht. Ausnutzung ist laut heise bisher nicht bekannt. Zuletzt wurden NetScaler-Lücken 2026 allerdings bereits als Zero-Days angegriffen.

Was sollten Admins jetzt tun?

• Inventar: alle NetScaler-ADC- und Gateway-Instanzen samt Version erfassen, auch Instanzen für Secure Private Access.
• Patchstand: auf 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS oder 13.1-37.293 FIPS/NDcPP aktualisieren, Gateways zuerst.
• Die Konfigurationsprüfungen aus dem Bulletin gegen die eigene ns.conf laufen lassen, um die Reihenfolge zu planen.
• NSIP-Verwaltungsadressen nicht aus dem Internet erreichbar halten.
• Nach dem Update Abstürze und Neustarts der Appliances im Blick behalten, ältere Versionen ohne Support nicht weiterbetreiben.

Einordnung für Unternehmen

NetScaler Gateway ist oft der einzige Fernzugang zu Citrix-Arbeitsplätzen. Ein Absturz trifft damit direkt den Betrieb. Wer die Appliance von einem Dienstleister betreuen lässt, sollte dort nach dem Termin fragen. Die Citrix-Bulletins CTX697280, CTX697281 und CTX697320 zu Secure Access Client und NetScaler Console erschienen am selben Tag und sind getrennt zu prüfen.

Passende Anleitungen auf S-EDV

• Citrix NetScaler: Neue kritische SAML-Lücke CVE-2026-107406 trifft auch frisch gepatchte Gateways
• Citrix NetScaler: Zwei Zero-Days CVE-2026-88771 und CVE-2026-88772 aktiv ausgenutzt

Quellen

• Citrix: Sicherheitsbulletin CTX697305 für NetScaler ADC und Gateway
• heise: Angreifer können NetScaler lahmlegen
• BornCity: Bericht zum Bulletin CTX697305