Citrix NetScaler: 28 Sicherheitslücken, eine davon trifft jede Installation

• Citrix hat am 12. November 2026 mit dem Bulletin CTX697305 insgesamt 28 Sicherheitslücken in NetScaler ADC und NetScaler Gateway geschlossen und stuft es als kritisch ein.
• CVE-2026-120868 mit CVSS 9.3 betrifft laut Citrix alle selbst betriebenen Installationen, auch in der Standardkonfiguration, CVE-2026-107412 mit CVSS 9.5 trifft Systeme mit Gateway oder AAA.
• Geschützt sind die Versionen 14.1-73.57 und 13.1-64.39 sowie die genannten FIPS- und NDcPP-Stände und neuere Builds.
• Laut CERT-EU sind Citrix bisher keine Angriffe auf diese Lücken bekannt, Ende September hatte das BSI allerdings vor aktiv angegriffenen NetScaler Zero-Day-Lücken gewarnt.
• Wer den NetScaler nur als VPN-Zugang nutzt, kann mit Microsoft Entra Private Access einen Zugang ohne eingehend erreichbares Gateway prüfen.

Für den Citrix NetScaler gibt es erneut ein kritisches Sicherheitsupdate. Cloud Software Group, der Hersteller hinter Citrix, hat am 12. November 2026 das Security Bulletin CTX697305 für NetScaler ADC und NetScaler Gateway veröffentlicht. Es behebt 28 Schwachstellen, die meisten davon Speicherüberläufe in einzelnen Funktionen. Citrix fordert alle Kunden mit selbst betriebenen Appliances ausdrücklich auf, so schnell wie möglich zu aktualisieren.

Zwei Lücken stechen heraus:

• CVE-2026-120868 (CVSS v4.0 9.3): ein Speicherüberlauf in der Paketverarbeitung, der laut Citrix zu Denial of Service oder Fehlverhalten führen kann. Er betrifft alle Installationen, auch in der Standardkonfiguration. Eine besondere Funktion muss dafür nicht aktiv sein.
• CVE-2026-107412 (CVSS v4.0 9.5): mehrere Speicherüberläufe, die Appliances betreffen, die als Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder als AAA Virtual Server konfiguriert sind. Laut CERT-EU sind sie ohne Anmeldung erreichbar.

Die übrigen Lücken setzen bestimmte Funktionen voraus, zum Beispiel SAML, WebAuth, LDAP, Email OTP, die Anmeldung per Clientzertifikat, Endpoint Analysis, HTTP/2, HTTP/3, DNS over HTTPS, GSLB, BGP oder die Application Firewall.

Laut Citrix sind diese Versionen betroffen:

• NetScaler ADC und NetScaler Gateway 14.1 vor 14.1-73.57
• NetScaler ADC und NetScaler Gateway 13.1 vor 13.1-64.39
• NetScaler ADC FIPS vor 14.1-73.58 FIPS
• NetScaler ADC FIPS und NDcPP vor 13.1-37.293

Geschützt sind 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS und 13.1-37.293 (FIPS und NDcPP) sowie jeweils neuere Builds. Betroffen sind außerdem NetScaler Instanzen in hybriden Secure Private Access Umgebungen. Auch sie müssen aktualisiert werden.

Citrix-verwaltete Cloud-Dienste und die von Citrix verwaltete Adaptive Authentication aktualisiert der Hersteller nach eigenen Angaben selbst. Das Bulletin richtet sich an Unternehmen, die ihre Appliances selbst betreiben.

Das CERT-EU schreibt in seiner Warnung vom 12. November 2026, dass Citrix keine Ausnutzung meldet und ein öffentlicher Proof of Concept nicht bestätigt ist. Entwarnung ist das nicht. Erst Ende September 2026 musste Citrix zwei Zero-Day-Lücken im NetScaler schließen (CVE-2026-88771 und CVE-2026-88772, je CVSS 9.5), und das BSI warnte am 1. Oktober 2026 unter der Überschrift, dass Systeme über diese Zero-Day-Schwachstellen angegriffen werden.

Ein NetScaler Gateway steht fast immer direkt im Internet. Das macht ihn für Angreifer attraktiv, sobald Details zu einer Lücke bekannt werden. Das CERT-EU empfiehlt deshalb, aus dem Internet erreichbare Gateway- und AAA-Appliances zuerst zu aktualisieren.

1. Inventur machen: Erfassen Sie alle NetScaler ADC und NetScaler Gateway Appliances, auch virtuelle Instanzen und Instanzen in hybriden Secure Private Access Umgebungen, mit ihrem aktuellen Build.
2. Gateway und AAA zuerst aktualisieren: Spielen Sie auf Systemen mit VPN-, ICA-Proxy- oder AAA-Konfiguration sofort einen geschützten Build ein. Alle anderen Appliances folgen direkt danach, denn CVE-2026-120868 betrifft jede Installation.
3. Konfiguration abgleichen: Citrix nennt im Bulletin für fast jede Lücke den Befehl in der Konfigurationsdatei ns.conf, an dem Sie erkennen, ob Ihre Appliance betroffen ist, etwa einen VPN oder Authentication Virtual Server, eine SAML-Aktion oder ein HTTP-Profil mit aktiviertem HTTP/2.
4. Protokolldatei prüfen: Bei CVE-2026-111338 können Anmeldedaten nach einem Logout in die Datei /var/log/httperror.log geschrieben werden. Prüfen Sie, wer lokal Lesezugriff auf diese Datei hat.
5. Managementzugang abschotten: CVE-2026-120863 betrifft die Managementoberfläche, wenn ein Angreifer die Management-IP (NSIP) von einem nicht vertrauenswürdigen System aus erreicht. Diese Adresse gehört nicht ins Internet.
6. Bulletins abonnieren: Citrix empfiehlt, sich für Benachrichtigungen zu neuen Security Bulletins anzumelden.

Wie Sie neue Schwachstellen laufend mit Ihrem eigenen Bestand abgleichen, statt jedes Advisory einzeln zu verfolgen, zeigen wir in unserer News zum Schwachstellenmanagement mit Microsoft 365.

Viele Unternehmen nutzen den NetScaler vor allem als VPN-Zugang für Mitarbeitende. Genau diese Funktion ist von der schwersten Lücke betroffen. Wer den Zugang ohnehin modernisieren will, sollte sich Microsoft Entra Private Access ansehen. Laut Microsoft brauchen Mitarbeitende mit installiertem Global Secure Access Client für interne Anwendungen kein VPN mehr. Die Verbindung ins Firmennetz übernehmen Private Network Connectors auf Windows Servern, die nur ausgehende Verbindungen aufbauen. Eingehende Ports in der Firewall sind dafür nicht nötig, und jeder Zugriff lässt sich mit Conditional Access an Identität und Gerätezustand knüpfen.

Seit dem 2. November 2026 bietet Microsoft mit Microsoft Entra Global Secure Access ein gemeinsames Angebot aus Entra Internet Access und Entra Private Access an. Beide Produkte bleiben auch einzeln erhältlich.

Wichtig für die Planung: Entra Private Access ersetzt den VPN-Zugang, nicht die Lastverteilung. Wer den NetScaler zusätzlich als Load Balancer oder Application Firewall für eigene Webanwendungen nutzt, muss diese Aufgaben getrennt betrachten. Das kurzfristige Update auf einen geschützten Build bleibt in jedem Fall Pflicht.

Wie der Umstieg vom klassischen VPN abläuft, beschreiben wir auf der Seite Microsoft Global Secure Access als VPN-Alternative.

Die InSys AG^® ist Microsoft Solutions Partner für Security und begleitet Unternehmen seit 35 Jahren bei Netzwerk und IT-Sicherheit. Wir prüfen mit Ihnen, welche Anwendungen heute über Ihr VPN-Gateway erreichbar sind, und führen Microsoft Entra Private Access schrittweise ein, zunächst parallel zum bestehenden Zugang. Einen Überblick über unsere Leistungen finden Sie auf der Seite Microsoft 365 Security und Lizenzen. Sie erreichen uns unter +49 (521) 260105-0 oder über das Kontaktformular unter dieser News.