Citrix NetScaler ADC und Gateway: Speicherüberlauf führt zu Denial of Service

Zusammenfassung

Ein Speicherüberlauf in NetScaler ADC und NetScaler Gateway erlaubt einem entfernten, nicht authentifizierten Angreifer einen Denial of Service, wobei das Gerät abstürzen und möglicherweise neu starten kann. Citrix und CISA beschreiben den Geltungsbereich als kundenseitig verwaltete Geräte, die als SAML Service Provider oder Identity Provider konfiguriert sind; von Citrix verwaltete Cloud-Dienste sind nicht betroffen. Die Schwachstelle wird aktiv ausgenutzt und ist im KEV-Katalog der CISA aufgeführt. Die CISA hält zudem fest, dass sie auf ungepatchten Systemen mit CVE-2026-88771 kombiniert werden kann, um zuvor eingeschleusten Code auszuführen.

Betroffen

• NetScaler ADC 14.1 vor 14.1-73.41
• NetScaler ADC 13.1 vor 13.1-64.28
• NetScaler ADC FIPS 14.1 vor 14.1-73.41 FIPS
• NetScaler ADC FIPS 13.1 vor 13.1-37.282
• NetScaler Gateway 14.1 vor 14.1-73.41
• NetScaler Gateway 13.1 vor 13.1-64.28
• Nicht betroffen: von Citrix verwaltete Cloud-Dienste

Behoben in

• NetScaler ADC und Gateway 14.1: 14.1-73.41 oder neuer
• NetScaler ADC und Gateway 13.1: 13.1-64.28 oder neuer
• NetScaler ADC FIPS 13.1: 13.1-37.282 oder neuer
• Genaue Builds in der Citrix-Meldung CTX697174 überprüfen

Umgehung

• Falls das Patchen verzögert wird, den virtuellen Patch von Citrix (Global-Deny-List-Signaturen über NetScaler Console) oder die Responder-Policy des Citrix Supports anwenden.
• Die Responder-Policy nur über CTX697174 beziehen, nicht über Kopien Dritter.
• Die SAML-Konfiguration prüfen (add authentication samlAction, add authentication samlIdPProfile), um die Betroffenheit festzustellen.

Ausnutzung

• Wird aktiv ausgenutzt; am 4. Oktober 2026 in den KEV-Katalog der CISA aufgenommen.
• Citrix hat gezielte Angriffe auf ungepatchte Systeme beobachtet.
• Öffentlicher Proof of Concept: Unbekannt.
• Eine Behauptung Dritter zu Remote Code Execution ist durch Citrix und CISA nicht bestätigt.

Unsere Empfehlung

• Alle NetScaler-ADC- und Gateway-Geräte inventarisieren, einschliesslich FIPS-Geräte und hybrider Nutzung.
• Geräte mit SAML-SP- oder IdP-Konfiguration identifizieren und umgehend auf die korrigierten Builds patchen.
• Falls das Patchen verzögert wird, den virtuellen Patch oder die Responder-Policy von Citrix anwenden.
• Logs prüfen und die IOC-Checks von Citrix auf Kompromittierung ausführen, da ein Patch eine bereits vorhandene Webshell nicht entfernt.
• Zusätzlich CVE-2026-88771 (CTX697096) und CVE-2026-107406 (CTX697191) prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Citrix Security Bulletin CTX697174 support.citrix.com
• Citrix community blog: Understanding and addressing CVE-2026-88779 community.citrix.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA alert: KEV addition, 4 October 2026 www.cisa.gov
• Sophos: CVE-2026-88779 in active exploitation www.sophos.com
• Rapid7: Zero-day exploitation of NetScaler ADC and Gateway www.rapid7.com
• Helient: Citrix NetScaler SAML security update www.helient.com
• Tenable: FAQ on reported Citrix NetScaler zero-day vulnerabilities www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:36.