NetScaler gegen CVE-2026-88771 und CVE-2026-88772 aktualisieren
Citrix meldet beobachtete Angriffe auf zwei kritische Schwachstellen in kundenseitig verwaltetem NetScaler ADC und Gateway. Die Voraussetzungen unterscheiden sich: CVE-2026-88771 betrifft alle Deployments einschließlich der Standardkonfiguration; für CVE-2026-88772 muss DTLS aktiviert sein.
| CVE | Bestätigtes Problem | Voraussetzung | Schweregrad |
|---|---|---|---|
CVE-2026-88771 | Unauthentifizierte Remote-Code-Ausführung durch unsachgemäße Eingabevalidierung (CWE-20) | Alle betroffenen ADC- und Gateway-Deployments, einschließlich Standardkonfiguration; kein Zusatzfeature erforderlich | CVSS 4.0: 9,5 Kritisch |
CVE-2026-88772 | Speicherüberlauf mit möglicher Remote-Code-Ausführung oder Dienstverweigerung (CWE-119) | DTLS aktiviert; laut Citrix standardmäßig auf VPN-vServern aktiviert | CVSS 4.0: 9,5 Kritisch |
Betroffene und behobene NetScaler-Versionen
Citrix nennt die folgenden unterstützten, kundenseitig verwalteten Produktzweige vor den behobenen Builds als betroffen. Aktualisieren Sie auf die angegebene Version oder eine neuere Version desselben unterstützten Zweigs. Auch NetScaler-Instanzen in Secure-Private-Access-Hybrid-Deployments müssen aktualisiert werden. Cloud Software Group aktualisiert die von Citrix verwalteten Cloud-Dienste.
| Produktzweig | Betroffene Versionen | Behobene Version |
|---|---|---|
| ADC und Gateway 14.1 | Vor 14.1-73.37 | 14.1-73.37 oder neuer |
| ADC und Gateway 13.1 | Vor 13.1-64.23 | 13.1-64.23 oder neuer |
| ADC FIPS 14.1 | Vor 14.1-73.37 FIPS | 14.1-73.37 FIPS oder neuer |
| ADC FIPS / NDcPP 13.1 | Vor 13.1-37.279 | 13.1-37.279 oder neuer |
DTLS-Betroffenheit durch CVE-2026-88772 prüfen
Für CVE-2026-88771 gibt es keinen Ausschluss anhand der Konfiguration: Citrix zufolge sind alle betroffenen Deployments eingeschlossen. Prüfen Sie für CVE-2026-88772 die laufende Konfiguration auf virtuelle Server mit DTLS. Bei einem VPN-vServer gilt DTLS als aktiviert, wenn es nicht ausdrücklich deaktiviert wurde; andere virtuelle Server sind betroffen, wenn sie mit dem Typ DTLS konfiguriert sind. Installieren Sie das vollständige Citrix-Update auch bei deaktiviertem DTLS, da diese Einstellung CVE-2026-88771 und die übrigen Schwachstellen des Bulletins nicht behebt.
Checkliste für Triage und Reaktion
- Erfassen Sie kundenseitig verwaltete ADC-, Gateway- und NetScaler-Instanzen in Secure Private Access Hybrid; notieren Sie Release-Zweig und Build jedes Geräts.
- Priorisieren Sie alle betroffenen Builds: CVE-2026-88771 gilt ohne spezielles Feature oder abweichende Konfiguration.
- Prüfen Sie virtuelle Server mit DTLS auf die zusätzliche Betroffenheit durch CVE-2026-88772; DTLS-Einschränkungen sind nur dann eine vorübergehende Maßnahme, wenn die Dienstanforderungen es erlauben.
- Aktualisieren Sie auf den passenden behobenen Build und prüfen Sie die installierte Version auf jedem Gerät und HA-Peer.
- Da Angriffe beobachtet wurden, prüfen Sie Geräte anhand der aktuellen Citrix-Indikatoren für Kompromittierung und der defensiven Hunting-Empfehlungen von Google Mandiant; ein Patch belegt nicht, dass ein Gerät sauber ist.
- Bei Verdacht auf eine Kompromittierung folgen Sie dem Incident-Response-Prozess und den Citrix-Supportanweisungen, bevor Sie das Gerät wieder in Betrieb nehmen.
- Behandeln Sie CVE-2026-88779 getrennt: Es handelt sich um ein eigenständiges, an SAML gebundenes DoS-Problem, das einen späteren Build erfordern kann. Lesen Sie die separate FlawOpen-Analyse.