Citrix veröffentlichte am 8. Okt. ein Sicherheitsbulletin, in dem NetScaler-Administratoren aufgefordert werden, eine kritische Lücke zu schließen, die die Ausführung von Code aus der Ferne oder eine Dienstverweigerung ermöglichen könnte. Die als CVE-2026-107406 geführte Schwachstelle hat einen CVSS-v4.0-Wert von 9,5.
Nicht jedes NetScaler-Gerät ist gefährdet. Das Problem betrifft bestimmte Builds von NetScaler ADC und NetScaler Gateway, die für die Verarbeitung der Security Assertion Markup Language (SAML)-Authentifizierung konfiguriert sind. Citrix hat zwar keine Ausnutzung dieser speziellen Lücke gemeldet, doch die Veröffentlichung folgt auf mehrere ausgenutzte NetScaler-Schwachstellen. Für Sicherheitsteams ist die Identifizierung der richtigen Versionen und Authentifizierungsrollen der erste Schritt, um die Sicherheitslücke zu schließen.
Wer ist von CVE-2026-107406 betroffen?
Citrixstuft den Speicherüberlauf als CWE-119 ein. Ältere betroffene Builds sind gefährdet, wenn sie entweder als SAML-Service-Provider (SP) oder als Identitätsanbieter (IdP) konfiguriert sind. Einige neuere Builds sind nur in der IdP-Rolle verwundbar.
Das Sicherheitsbulletin des Unternehmens führt die betroffenen Builds und verfügbaren Korrekturen auf:
Produkt | Betroffene Builds und SAML-Rollen | Korrigierter Build |
NetScaler ADC/Gateway 14.1 | Vor 14.1-73.37: SP oder IdP. Versionen 14.1-73.37 bis 14.1-73.41: nur IdP | 14.1-73.46 oder höher |
NetScaler ADC/Gateway 13.1 | Vor 13.1-64.23: SP oder IdP. Versionen 13.1-64.23 bis 13.1-64.28: nur IdP | 13.1-64.29 oder höher |
NetScaler ADC 14.1-FIPS | Vor 14.1-73.37 FIPS: SP oder IdP. Versionen 14.1-73.37 bis einschließlich 14.1-73.41 FIPS: nur IdP | 14.1-73.46 FIPS oder höher |
NetScaler ADC 13.1-FIPS/NDcPP | Vor 13.1-37.279: SP oder IdP. Versionen 13.1-37.279 bis einschließlich 13.1-37.282: nur IdP; die Anwendbarkeit für die jeweilige Edition ist im Advisory von Citrix zu bestätigen | 13.1.37.283 oder höher |
Auch Secure-Private-Access-Hybrid-Bereitstellungen, die betroffene NetScaler-Instanzen verwenden, müssen aktualisiert werden.
Administratoren können SAML-Konfigurationen identifizieren, indem sie nach add authentication samlAction (SP) oder add authentication samlIdPProfile (IdP) suchen.
Citrixaktualisiert seine verwalteten Cloud-Dienste und die verwaltete Adaptive Authentication, doch Kunden müssen ihre eigenen NetScaler-Bereitstellungen patchen, berichtet The Register.
Mehr als 21.000 offengelegte NetScaler-IP-Adressen
BleepingComputer berichtete, dass Shadowserver mehr als 21.000 aus dem Internet erreichbare IP-Adressen mit NetScaler-Fingerabdrückenidentifiziert habe, darunter etwa 1.500 Gateway- und knapp 20.000 ADC-Instanzen.
Die Zahlen lassen jedoch nicht erkennen, wie viele Geräte ungepatcht sind, anfällige SAML-Konfigurationen verwenden oder Honeypots sind.
The Hacker Newswies darauf hin, dass drei separate Schwachstellen – CVE-2026-88771, CVE-2026-88772 und CVE-2026-88779 – bereits bei Angriffen auf NetScaler ausgenutzt wurden.
Diese Angriffe sollten nicht mit CVE-2026-107406 verwechselt werden, für die Citrix keine bekannten nicht eingedämmten Exploitsgemeldet hat.
Was Sicherheitsteams jetzt tun sollten
IT- und Sicherheitsadministratorensollten drei Maßnahmen priorisieren:
- Bestandsaufnahme der betroffenen Appliances: Identifizieren Sie kundenverwaltete NetScaler-ADC-, Gateway- und Secure-Private-Access-Hybrid-Bereitstellungen.
- Konfigurationen überprüfen: Vergleichen Sie die Softwareversionen mit dem Advisory von Citrix und prüfen Sie, ob betroffene SAML-SP- oder IdP-Einstellungen aktiviert sind.
- Patchen und testen: Installieren Sie die zutreffende korrigierte Version, überprüfen Sie das Upgrade und testen Sie anschließend die Authentifizierung und den Fernzugriff.
Für Unternehmen, die beim Fernzugriff auf NetScaler Gateway setzen, gehen die Risiken über ein einzelnes anfälliges Gerät hinaus. Ein Denial-of-Service-Angriff könnte Beschäftigte daran hindern, auf Geschäftsanwendungen zuzugreifen, während eine erfolgreiche Ausführung von Code aus der Ferne die Appliance selbst kompromittieren könnte.
Sicherheitsteams sollten bestätigen, welche NetScaler-Instanzen SAML-Authentifizierung verwenden, ihre Softwareversionen prüfen und die entsprechenden Patches einspielen. Außerdem sollten sie überprüfen, ob die Anmeldungen der Beschäftigten nach dem Upgrade funktionieren.
Obwohl Citrix keine Ausnutzung von CVE-2026-107406 gemeldet hat, machen die jüngsten Angriffe mit anderen NetScaler-Schwachstellen eine Verzögerung dieser Updates zu einer riskanten Entscheidung.
Weiterführende Lektüre: Citrix hat kürzlich einen weiteren bei Angriffen ausgenutzten NetScaler-SAML-Zero-Daygeschlossen. Die frühere Schwachstelle CVE-2026-88779 ermöglichte es Angreifern, betroffene Systeme zu stören.