Zwei Citrix-NetScaler-Zero-Days, drei Wochen unentdeckt, und nun massenhafte Ausnutzung

Citrix veröffentlichte am 27. September 2026 ein Sicherheitsbulletin zu acht Schwachstellen in NetScaler ADC und NetScaler Gateway, seinen Application-Delivery-Controllern und Fernzugriffs-Gateways. Zwei davon, CVE-2026-88771 und CVE-2026-88772, wurden bereits als Zero-Days ausgenutzt, bevor der Fix existierte. Beide tragen einen CVSS-4.0-Basiswert von 9,5, an der Spitze des kritischen Bereichs.

Zum Weiterlesen: Fortinets FortiMail-Zero-Day erlaubt Angreifern, Dateien ohne Anmeldung zu schreiben · Ciscos SD-WAN-Manager-Zero-Day lässt Angreifer als Admin hinein.

Am selben Tag nahm die US-Cybersicherheitsbehörde CISA beide Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen auf und erklärte, sie habe Berichte und Partnerinformationen erhalten, die bestätigten, dass Angreifer sie weltweit ausnutzten. Für die Tausenden Organisationen, die VPN und Fernzugriff über ein NetScaler-Gerät terminieren, wiederholt sich die Botschaft von CitrixBleed 2023: Betrachten Sie das Peripheriegerät als Ziel und gehen Sie nicht davon aus, dass ein Patch allein einen Eindringling entfernt, der vor ihm angekommen ist.

Was Citrix am 27. September offenlegte

Das Bulletin CTX697096 behebt acht CVEs. Die zwei wichtigsten sind die ausgenutzten.

CVE-2026-88771 ist eine Schwachstelle bei der Eingabevalidierung (CWE-20), die einem nicht authentifizierten Angreifer erlaubt, beliebige Betriebssystembefehle auf dem Gerät auszuführen. Laut Rapid7 betrifft sie anfällige Installationen in ihrer Standardkonfiguration, ohne dass eine optionale Funktion nötig ist, und der Hersteller stufte die Angriffskomplexität als niedrig ein. Diese Kombination verwandelte eine gezielte Intrusion in eine breite automatisierte Jagd, sobald Details öffentlich wurden.

CVE-2026-88772 ist ein Speicherüberlauf (CWE-119), der zu Remote-Code-Ausführung oder einem Denial of Service führen kann, wenn DTLS aktiviert ist, was auf VPN-virtuellen Servern standardmäßig der Fall ist. Citrix stufte die Angriffskomplexität als hoch ein, und bis zum Bericht von Help Net Security am 29. September war kein öffentlicher Proof of Concept aufgetaucht.

Die übrigen sechs CVEs, CVE-2026-88773 bis CVE-2026-88778, wurden nicht als ausgenutzt gemeldet. Sie umfassen eine Schwachstelle für HTTP-Request-Schmuggel mit der Bewertung 9,3 und mehrere Speicherüberläufe mit 8,8. CVE-2026-88778 ist eine Schwachstelle mit vorhersagbarer anfänglicher TCP-Sequenznummer (CWE-342), die das Upgrade allein nicht schließt: Administratoren müssen zudem die Enhanced-ISN-Generierung aktivieren.

Citrix’ korrigierte Builds sind 14.1-73.37 und später, 13.1-64.23 und später, 14.1-73.37 FIPS und später sowie 13.1-37.279 und später für die Zweige 13.1-FIPS und 13.1-NDcPP. Das Bulletin nennt keine Problemumgehung. Im Zweig 13.1 rät watchTowr dazu, zuerst show ns variable auszuführen, weil Geräte mit definierten Variablen auf 13.1-64.24 wechseln sollten, um eine Neustartschleife während des Upgrades zu vermeiden.

Wochen stillen Zugriffs vor der Warnung

Die Offenlegung stauchte einen längeren Zeitraum zusammen, als die Daten vermuten lassen. Mandiant-Forscher sagten zu CyberScoop, die früheste bekannte Ausnutzung von CVE-2026-88772 habe am 3. September 2026 stattgefunden, mehr als drei Wochen bevor Citrix sie bestätigte. Googles Threat-Intelligence-Gruppe und Mandiant sagten später, die Kampagne laufe mindestens seit Anfang September.

Als das Bulletin erschien, waren laut Mandiant Organisationen in Nordamerika und Europa aus Regierung, Finanzdienstleistungen, Bildung, Telekommunikation sowie Rechts- und Beratungsdiensten wahrscheinlich kompromittiert. „Uns sind Dutzende betroffene Organisationen bekannt“, schrieb Charles Carmakal, CTO von Mandiant Consulting, auf LinkedIn, und schrieb die Aktivität fortgeschrittenen und mutmaßlich staatlich unterstützten Bedrohungsakteuren zu.

Die Intrusionen waren kein reiner Blitzüberfall. Unit 42 von Palo Alto Networks dokumentierte eine als .deb verpackte PHP-Webshell, die Remote-Befehlsausführung plus Dateiexfiltration und -upload bot, mit unter einem fest einprogrammierten Schlüssel verschlüsseltem Command-and-Control-Verkehr. In einer anderen Kette im Zusammenhang mit CVE-2026-88771 nutzten Angreifer drei Stufen von Log-Vergiftung, um eine PHP-Shell durch ein NetScaler-Perl-Skript ausführen zu lassen, und passten dann Apaches httpd.conf an, um die Shell unter einem Dateinamen auszuliefern, der wie ein versioniertes CSS-Asset aussah. Googles Threat-Intelligence-Gruppe und Mandiant benannten das Toolkit später: WHIPSHOT, eine PHP-Webshell, und SLAPSHOT, ein Python-TCP-Tunnel, der dem Eindringling den Wechsel in interne Netze erlaubte, wie The Register berichtete.

Rapid7 erklärte, es habe Ausnutzungsversuche bereits am 20. September beobachtet, darunter einen Befehl, der /flash/nsconfig archivierte, das Verzeichnis mit der Gerätekonfiguration, verschlüsselten Admin-Passwörtern, SSL-Zertifikaten und privaten Schlüsseln, und das Archiv in einen web-bereitgestellten Pfad schrieb. Auf einem anfälligen Gerät ließ sich das Archiv ohne Authentifizierung herunterladen.

GreyNoise, das ein Sensornetzwerk betreibt, das Angreiferverhalten aufzeichnet, erklärte, es habe am 24. September, drei Tage vor der Offenlegung, einen Versuch erfasst, CVE-2026-88771 gegen ein NetScaler Gateway auszunutzen. Der Versuch scheiterte am Sensor, so das Unternehmen, offenbarte aber ein Vorgehen: Admin-Zugang erlangen, eine Webshell hinter einer gefälschten Stylesheet-Adresse verstecken, die Protokolle bereinigen und den Server neu starten.

Warum Peripheriegeräte immer wieder getroffen werden

NetScaler-Geräte sitzen am Rand von Unternehmensnetzen, terminieren VPN und Fernzugriff, verteilen Last und authentifizieren Nutzer. Ein kompromittiertes Gerät verschafft einem Angreifer einen Standort, den Endpunkterkennungswerkzeuge nicht sehen, weil das Gerät keinen Endpunkt-Agenten ausführt. Deshalb tauchen diese Produkte immer wieder in Ausnutzungskampagnen auf.

Die jüngere Geschichte ist voll davon. CVE-2023-4966, bekannt als CitrixBleed, war ein NetScaler-Pufferüberlauf; CVE-2025-5777, CitrixBleed 2, war ein Out-of-Bounds-Read. Eine Reihe von Schwachstellen aus 2026 folgte, darunter CVE-2026-19490, das CISA am 9. September in KEV aufnahm, und CVE-2026-8452, aufgenommen am 26. August. Googles Threat-Intelligence-Gruppe führte etwa die Hälfte der unternehmensbezogenen Zero-Days aus 2025 auf Sicherheits- und Netzwerkprodukte zurück.

Die öffentliche Exposition ist groß. Censys sagte zu Help Net Security, es erkenne rund 42.000 internetzugewandte NetScaler-Hosts, wobei die Vereinigten Staaten 13.549 (32 Prozent) ausmachen, Deutschland 5.678 (13 Prozent) und die Niederlande, das Vereinigte Königreich und die Schweiz je etwa 4 Prozent. Cortex Xpanse von Palo Alto Networks bezifferte die Zahl potenziell anfälliger exponierter Instanzen zum 27. September auf 50.277. Der Sicherheitsforscher Kevin Beaumont sagte, sein Scan nach Firmware-Versionen habe ergeben, dass weniger als 10 Prozent der exponierten Hosts gepatcht seien, und er verfolge mehr als 100 betroffene Organisationen.

Sobald watchTowr Labs eine Ursachenanalyse und einen Proof of Concept für CVE-2026-88771 veröffentlichte, änderte sich der Charakter der Angriffe. Xavier Bellekens, Vorstandschef der Deception-Firma Lupovis, sagte zu Help Net Security, seine Sensoren hätten innerhalb von Minuten nach der Veröffentlichung des PoC laufende Ausnutzung registriert. „Wer NetScaler betreibt und nicht gepatcht hat, sollte davon ausgehen, bereits ausgespäht zu werden“, sagte er.

CERT-EU veröffentlichte eine eigene Stellungnahme, 2026-014, mit technischen Details und Hinweisen zur Bedrohungssuche, und andere nationale CERTs gaben Warnungen heraus. Der Übergang von privater Ausnutzung zu einem öffentlichen Freiwild dauerte Tage. Die Ursachenanalyse und der PoC erschienen kurz nach dem Patch, und die Scanner folgten innerhalb von Minuten. Dieses komprimierte Fenster lässt wenig Raum für den abgestuften Rollout, den große Unternehmen meist bevorzugen, und es ist inzwischen das normale Muster für internetzugewandte Produkte und nicht die Ausnahme.

„Ein Patch allein wird den Bedrohungsakteur möglicherweise nicht aus Ihrer Umgebung entfernen.“ — Charles Carmakal, CTO von Mandiant Consulting

Was Verteidiger zuerst tun sollten

Der Patch ist notwendig, aber er ist nicht der erste Schritt, und er mag allein nicht ausreichen. CISA’ Warnung bittet Organisationen, vor dem Patchen auf Anzeichen einer Kompromittierung zu prüfen, weil ein Update „zum Verlust forensischer Sichtbarkeit führen kann“. Carmakal machte denselben Punkt: Systeme vor dem Upgrade auf Kompromittierung untersuchen, Beweise für Webshells oder andere bösartige Dateien sichern und das Ausmaß der Intrusion untersuchen. Hatte ein Angreifer bereits Root, entfernt ein Softwarewechsel unter ihm den Einstiegspunkt, ohne den Eindringling zu entfernen.

Die Hinweise von watchTowr gehen die Reihenfolge durch: Protokolle, einen Snapshot, ein Support-Bundle und einen Core-Dump von jedem exponierten Gerät sichern; Citrix’ IOC-Scan ausführen oder die Indikatoren anfordern; den korrigierten Build installieren; Passwörter, Geheimnisse und Zertifikate rotieren, die auf dem Gerät gespeichert sind oder über es genutzt werden; und Verwaltungsoberflächen aus dem öffentlichen Internet heraushalten. Da ein kompromittiertes NetScaler VPN-Zugangsdaten und Sitzungstoken preisgeben kann, sollten Einsatzkräfte davon ausgehen, dass diese verbrannt sind, sie rotieren und aktive Sitzungen beenden.

Vorbehalte

Ein paar Grenzen sollten im Blick bleiben. Wer hinter den Angriffen steckt, bleibt unbekannt: Weder Citrix noch CISA noch Google haben die Kampagne öffentlich zugeordnet, und watchTowr-Chef Benjamin Harris sagte zu The Register, es gebe keinen klaren Trend bei den Zielen. Auch die Verbindung zwischen den beiden ausgenutzten CVEs ist ungeklärt; GreyNoise beobachtete CVE-2026-88771-Versuche ab dem 24. September, während Mandiant CVE-2026-88772 bis zum 3. September zurückverfolgte, und Forscher sagen, die beiden Kampagnen könnten dieselben Akteure betreffen oder nicht.

Das Erkennungsskript von Citrix hat seine eigene Lücke. Der Hersteller sagte zu Help Net Security, es „könne tatsächliche Kompromittierungen möglicherweise nicht erkennen“, da Angreifer Taktiken und Infrastruktur ändern. Ein sauberer Scan ist daher kein Beweis für Sicherheit. Die Zahlen exponierter Hosts sind Momentaufnahmen von Internetscannern, die nicht sehen können, ob ein bestimmtes Gerät gepatcht oder bereits kompromittiert ist, und die Zahl der betroffenen Organisationen ist eine Untergrenze, keine Gesamtsumme.

Es gibt auch die Frage, warum die Offenlegung so lange dauerte. watchTowr warnte am 26. September öffentlich, dass ungepatchte NetScaler-RCE-Schwachstellen ausgenutzt würden, einen Tag bevor Citrix veröffentlichte. Das niederländische nationale Cybersicherheitszentrum hatte einige Parteien zuvor privat benachrichtigt. Citrix hat gesagt, es habe die Schwachstellen bei der Untersuchung von Vorfällen in Kundenumgebungen gefunden, was bedeutet, dass sowohl die Ausnutzung als auch das Wissen des Herstellers jeder öffentlichen Warnung vorausgingen.

Was zu beobachten ist

Drei Dinge werden zeigen, wie weit das geht. Das erste ist, ob ein öffentlicher Exploit für CVE-2026-88772 auftaucht. CVE-2026-88771 hat bereits einen, und dieser löste die derzeitige massenhafte Scanaktivität aus; ein zweiter PoC würde die Hürde für die schwerer ausnutzbare Schwachstelle senken und den Kreis der Angreifer erweitern. Das zweite ist die Zuordnung. Wenn Regierungen oder Hersteller eine staatlich verbundene Gruppe benennen, verschiebt sich der Vorfall von einer Patch-Geschichte zu einer geopolitischen. Das dritte ist, wie viele kompromittierte Organisationen im Nachhinein auftauchen. Mandiants „Dutzende“ sind eine frühe Zahl, und die Opferzählung unabhängiger Forscher deutet darauf hin, dass die wahre Zahl weiter steigt. NetScaler-Geräte bleiben zudem oft jahrelang im Einsatz, sodass ein Teil des exponierten Bestands lange nach dem Ende des Nachrichtenzyklus ungepatcht bleibt, und jeder dieser Hosts ist eine stehende Einladung für den Akteur, der zuletzt kommt.

Vorerst ist die praktische Anweisung eng und dringend. Wenn kein internetzugewandtes NetScaler ADC oder Gateway auf einen korrigierten Build aktualisiert wurde, sollte es als exponiert gelten. Wurde es aktualisiert, verdient es dennoch eine Kompromittierungsprüfung, bevor ihm jemand wieder vertraut.

Titelbild: das Citrix-Hauptgebäude. Foto von Coolcaesar via Wikimedia Commons, CC BY-SA 3.0.