Forscher von watchTowr haben eine Schwachstelle in Citrix NetScaler entdeckt, durch die nicht authentifizierte Angreifer Teile des Prozessespeichers von aus dem Internet erreichbaren Appliances auslesen können.
Die Schwachstelle betrifft NetScaler-ADC- und Gateway-Appliances, die als SAML-Identitätsanbieter (IdPs) konfiguriert sind.
In seiner Sicherheitswarnung beschrieb Citrix die Schwachstelle als „unzureichende Eingabevalidierung, die zu einem Speicherüberlauf beim Lesen führt“, und bewertete sie mit einem CVSS-Score von 8,8.
Wichtigste Erkenntnisse zu CVE-2026-8451
- CVE-2026-8451 ist eine Pre-Auth-Schwachstelle zur Offenlegung von Speicherinhalten, die Citrix-NetScaler-ADC- und Gateway-Appliances betrifft, die als SAML-Identitätsanbieter konfiguriert sind.
- Die Schwachstelle ermöglicht es, durch speziell präparierte SAML-Anfragen einen Speicherzugriff außerhalb der vorgesehenen Grenzen auszulösen, wodurch möglicherweise vertrauliche Speicherinhalte des Prozesses offengelegt werden.
- Die Forscher zeigten außerdem, dass fehlerhafte Anfragen den anfälligen Prozess zum Absturz bringen können, wodurch ein potenzieller Denial-of-Service-Zustand (DoS) entsteht.
Wie CVE-2026-8451 die Authentifizierung in Citrix NetScaler beeinflusst
Die Schwachstelle CVE-2026-8451 befindet sich im XML-Parser von NetScaler, der für die Verarbeitung von SAML-Authentifizierungsanfragen zuständig ist, die an den Endpunkt /saml/login gesendet werden.
Die Forscher stellten fest, dass fehlerhafte XML-Attribute dazu führen können, dass der Parser über die vorgesehenen Grenzen des Anfragepuffers hinausliest.
Anstatt Attributwerte ordnungsgemäß zu beenden, verarbeitet der Parser möglicherweise angrenzende Speicherbereiche weiter und fügt Teile dieser Daten in ein an den Client zurückgegebenes Authentifizierungs-Cookie ein.
Bei ihren Tests beobachteten die Forscher durchgesickerte Binärdaten und offenbar Zeiger auf Speicherbereiche des Prozesses. Dies zeigt, dass die Appliance Informationen offenlegen kann, die unzugänglich bleiben sollten.
Obwohl die Menge der offengelegten Daten geringer ist als bei früheren CitrixBleed-Schwachstellen, erklärten die Forscher, könnten die Daten dennoch wertvolle Informationen für Folgeangriffe liefern.
Warum CVE-2026-8451 für Citrix-NetScaler-Nutzer relevant ist
Durch solche Speicheroffenlegungen können Authentifizierungsinformationen, kryptografisches Material, Sitzungsdaten oder Speicheradressen preisgegeben werden, die Angreifer zur Entwicklung ausgefeilterer Exploits oder zur Umgehung von Sicherheitsvorkehrungen nutzen können.
Die Forscher zeigten außerdem, dass speziell präparierte Anfragen den anfälligen nsppe-Prozess zuverlässig beenden können, wodurch Denial-of-Service-Angriffe auf betroffene Systeme möglich werden.
Zwar wurde bislang öffentlich kein aktiver Exploit-Einsatz gemeldet, doch liegt eine Proof-of-Concept-Forschung vor, was den Handlungsdruck für Unternehmen erhöht, anfällige Appliances zu patchen.
Die Entdeckung bestätigt zudem ein größeres Muster ähnlicher Schwachstellen, von denen Citrix-NetScaler-Appliances betroffen sind.
Da diese Systeme häufig als VPN-Gateways, Authentifizierungsserver und Application-Delivery-Controller dienen, bleiben sie attraktive Ziele für Angreifer, die einen ersten Zugang zu Unternehmensumgebungen suchen.
So lässt sich die Citrix-NetScaler-Schwachstelle CVE-2026-8451 eindämmen
Unternehmen, die Citrix NetScaler einsetzen, sollten ihre Gefährdung durch CVE-2026-8451 prüfen und so bald wie möglich die entsprechenden Sicherheitsupdates einspielen.
Über das Patchen hinaus lässt sich das Risiko verringern, indem der Zugriff auf aus dem Internet erreichbare Systeme beschränkt, die Authentifizierungsaktivität überwacht und überprüft wird, ob die Sicherheitskontrollen wie erwartet funktionieren.
- Installieren Sie den neuesten Patch und prüfen Sie, ob die Funktion als SAML-Identitätsanbieter (IdP) aktiviert ist, und deaktivieren Sie sie, falls sie nicht benötigt wird.
- Beschränken Sie die Internetreichweite durch Begrenzung des Zugriffs auf NetScaler-Authentifizierungs- und Verwaltungsschnittstellen mithilfe von Firewalls, VPNs oder IP-Allowlists.
- Überwachen Sie /saml/login-Anfragen, Authentifizierungsprotokolle und die Aktivität des nsppe-Prozesses auf fehlerhafte SAML-Anfragen, Abstürze oder andere Anzeichen eines Exploit-Einsatzes.
- Setzen Sie phishingresistente MFA sowie das Prinzip der geringsten Rechte für NetScaler-Administratoren und Verwaltungsschnittstellen durch.
- Überwachen Sie NetScaler-Appliances kontinuierlich auf verdächtige Authentifizierungsaktivitäten und binden Sie sie in Programme für das Schwachstellen- und Konfigurationsmanagement ein.
- Testen Sie Notfallpläne und verwenden Sie Angriffssimulations-tools mit Szenarien rund um die Kompromittierung von Identitäten.
In ihrer Gesamtheit können diese Maßnahmen dazu beitragen, den Schadensradius zu begrenzen und die allgemeine Resilienz zu stärken.
Fazit
CVE-2026-8451 zeigt, dass Schwachstellen zur Offenlegung von Speicherinhalten weiterhin Risiken für aus dem Internet erreichbare Infrastrukturen darstellen.
Auch wenn kein aktiver Exploit-Einsatz gemeldet wurde, sollten Unternehmen nicht warten, sondern exponierte NetScaler-Appliances absichern.
Während das Patchen bekannte Schwachstellen behebt, trägt ein Zero-Trust-Ansatz dazu bei, das Gesamtrisiko durch kontinuierliche Verifizierung und Zugriff nach dem Prinzip der geringsten Rechte zu verringern.