Citrix NetScaler: 28 Sicherheitslücken, neun davon kritisch – Updates nötig
Veröffentlicht am: 14.11.2026 um 02:03 Uhr | Redaktion boerse-global.de
Citrix Systems hat am 12. November 2026 das Sicherheitsbulletin CTX697305 veröffentlicht, um 28 Schwachstellen in selbst betriebenen Installationen von NetScaler ADC und NetScaler Gateway zu schließen.
Unter den gemeldeten Sicherheitsfehlern befinden sich neun als kritisch eingestufte Speicherüberläufe und Speicherbeschädigungen mit Bewertungen von 9.3 und 9.5 auf der CVSSv4-Skala. Diese schwerwiegenden Lücken lassen sich aus der Ferne und ohne vorherige Authentifizierung ausnutzen.
Kritische Speicherfehler bedrohen Standardinstallationen
Die Einstufung der Schwachstellen verteilt sich auf neun kritische, 15 hohe und vier mittlere Risikostufen. Bei den Angriffsvektoren überwiegt der Fernzugriff: 23 Fehler sind über das Netzwerk erreichbar, vier lokal und eine Lücke über ein angrenzendes Netzwerksegment.
Den höchsten CVSSv4-Wert von 9.5 weist die Schwachstelle CVE-2026-107412 auf. Sie betrifft Systeme, die als Gateway oder als AAA Virtual Server konfiguriert sind.
Besonders weitreichend ist zudem der Speicherüberlauf in der Paketverarbeitung unter der Kennung CVE-2026-120868 (CVSSv4 9.3). Dieser betrifft jede Standardinstallation, erfordert weder eine Anmeldung noch Nutzerinteraktion und ist der einzige der 28 Fehler, der an keine spezifische Funktions-Vorbedingung geknüpft ist.
Wer sich mit der Absicherung kritischer Unternehmensinfrastruktur befasst, muss heute auch neue gesetzliche Anforderungen und technologische Risiken im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken: Gratis-Report für Unternehmen
Weitere kritische Lücken mit einem CVSSv4-Wert von 9.3 betreffen unter anderem Funktionen wie DNS-over-HTTPS (CVE-2026-107408 und CVE-2026-107409), Push-Dienste (CVE-2026-107410), SMPP (CVE-2026-107407), E-Mail-OTP (CVE-2026-107415), EPA (CVE-2026-111344) sowie den ICA-Proxy (CVE-2026-120864).
Weitere elf Schwachstellen weisen einen Wert von 8.7 auf und betreffen Protokolle und Mechanismen wie SAML, RTSP ALG, WebAuth, LDAP oder RADIUS. Bei zehn Einträgen stuft die CVSS-4.0-Bewertung die Folgen für Vertraulichkeit, Integrität und Verfügbarkeit jeweils als hoch ein.
Laut dem Herstellerbulletin führen die Fehler primär zu unvorhersehbarem Verhalten oder Denial-of-Service-Zuständen; eine Ausführung von Schadcode wird im Bulletin nicht genannt.
Betroffene Versionen und Fehlen von Behelfslösungen
Die Sicherheitslücken betreffen NetScaler ADC und Gateway in den Versionen 14.1 vor Build 14.1-73.57 sowie 13.1 vor 13.1-64.39. Bei FIPS-Varianten sind die Versionen 14.1 vor 14.1-73.58 FIPS und 13.1 vor 13.1-37.293 betroffen. Auch die Hybrid-Bereitstellung von Secure Private Access ist tangiert.
Wirksame Behelfslösungen stehen nicht zur Verfügung. Administratoren müssen die bereinigten Builds 14.1-73.57, 13.1-64.39 oder die entsprechenden FIPS-Aktualisierungen einspielen. Die Veröffentlichung der Patches erfolgte nach einer internen, KI-gestützten Überprüfung des Quellcodes.
Angesichts der zunehmenden Komplexität von Netzwerk-Bedrohungen gewinnt die proaktive Absicherung der gesamten Unternehmens-IT an Bedeutung. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre Firma vor Cyberangriffen schützen. IT-Sicherheit ohne teure Investitionen stärken
Neben den Appliances wurden auch Sicherheitsaktualisierungen für Begleitsoftware bereitgestellt. In der NetScaler Console behebt Build 14.1-74.34 eine Lücke zur unauthentifizierten Umgehung der Zugriffskontrolle (CVE-2026-120869). Für den Secure Access Client stehen Updates für Windows (Version 26.11.1.6) und Linux (Version 26.10.4) bereit, die lokale Rechteausweitungen auf Systemebene schließen.
Behörden mahnen zur zügigen Behebung
Bislang liegen Citrix Systems keine Erkenntnisse über eine aktive Ausnutzung der Schwachstellen vor. Auch die US-Cybersicherheitsbehörde CISA führt die Lücken derzeit nicht in ihrem Katalog bekannter ausgenutzter Schwachstellen, und es wurden keine Angriffsindikatoren oder öffentlichen Machbarkeitsnachweise dokumentiert.
Dennoch mahnen Sicherheitsbehörden zur Eile. Die europäische Behörde CERT-EU empfiehlt eine rasche Installation der Updates und rät Administratoren, Systeme mit Internetzugriff, insbesondere Gateways und AAA-Server, vorrangig zu aktualisieren.
Messungen der Sicherheitsorganisation Shadowserver zeigen eine breite Angriffsfläche: Demnach sind weltweit über 21.000 NetScaler-IP-Adressen über das Internet erreichbar, darunter mehr als 1.500 Gateways und fast 20.000 ADC-Systeme.
