Während du das hier liest, haben Angreifer möglicherweise schon seit Wochen Zugriff auf Citrix-NetScaler-Boxen — und kaum jemand hat es gemerkt. Erst am 27. September 2026 hat Citrix die Lücken offiziell bestätigt, gepatcht und der US-Behörde CISA gemeldet. Die Frist für Bundesbehörden: morgen, 30. September.
WOCHENLANG UNENTDECKT: So kam die Lücke ans Licht
Der Sicherheitsforscher Kevin Beaumont berichtet, dass europäische Regierungsbehörden die ganze vergangene Woche über vor aktiven Angriffen gewarnt haben — offiziell bestätigt wurde aber erst am Sonntag. Öffentlich wurden erste Hinweise bereits am Freitag auf Reddit sichtbar. Die eigentliche Ausnutzung durch die Angreifer lief nach aktuellem Kenntnisstand während des gesamten Septembers.
Das niederländische NCSC bringt es auf den Punkt: „Diese Schwachstelle gibt Angreifern vollständige Kontrolle über das Gateway.” Und genau das ist bei einer NetScaler-Box brisant — sie steht meist direkt am Rand des Netzwerks und regelt, wer per VPN hinein darf.
ZWEI LÜCKEN, EIN EINFALLSTOR
Insgesamt hat Citrix mit dem Update acht Schwachstellen geschlossen (CVE-2026-88771 bis CVE-2026-88778). Aktiv ausgenutzt werden aber offenbar nur zwei davon:
- CVE-2026-88771 (CVSS 9,5): Fehlerhafte Eingabevalidierung erlaubt unauthentifizierte Codeausführung — ganz ohne Login, ohne Zutun eines Nutzers. Betroffen sind alle NetScaler-ADC- und -Gateway-Installationen, unabhängig von der Konfiguration.
- CVE-2026-88772 (CVSS 9,5): Ein Speicherüberlauf, der zu Codeausführung oder zum kompletten Ausfall führen kann. Ausnutzbar nur, wenn DTLS aktiv ist — was bei VPN-virtuellen-Servern aber der Standard ist.
Zusammen ergibt das eine besonders unangenehme Kombination: Die erste Lücke trifft praktisch jede Installation, die zweite genau die Boxen, die als VPN-Einstieg ins Firmennetz dienen.
SPUREN VERWISCHT: Was Angreifer nach dem Einbruch tun
Wer schon drin war, hat es sich gemütlich gemacht. Beaumont warnt ausdrücklich, dass Administratoren jede Box nach dem Patchen auf Webshells durchsuchen müssen. Beobachtet wurden außerdem gezielte Anti-Forensik-Befehle, mit denen Angreifer Spuren löschen, sowie manipulierte Log-Rotationen.
Das hat eine unangenehme Konsequenz: Das von Citrix bereitgestellte Erkennungsskript funktioniert nur, wenn die Logs seit dem Angriff nicht bereits rotiert wurden. Bei vielen Standardkonfigurationen ist das nach mehreren Wochen aktiver Kompromittierung nicht mehr gegeben.
Zur Einordnung, wer dahinterstecken könnte: Beaumont schätzt die Aktivität als „wahrscheinlich staatsnah, gut ausgestattet, Spionage statt Vandalismus” ein. Eine Untersuchung von Tenable stützt das — über sieben Jahre hinweg gingen zwei Drittel aller beobachteten Angriffe auf NetScaler-Lücken auf bekannte APT-Gruppen zurück.
SO PATCHST DU RICHTIG — in 5 Schritten
Die gepatchten Versionen sind seit Sonntag verfügbar:
- NetScaler ADC & Gateway 14.1: ab 14.1-73.37
- NetScaler ADC & Gateway 13.1: ab 13.1-64.23
- NetScaler ADC FIPS: ab 14.1-73.37 FIPS
- NetScaler ADC NDcPP: ab 13.1-37.279
Das NCSC-NL empfiehlt eine bestimmte Reihenfolge, damit du dir nicht die eigene Beweiskette zerstörst:
- Sichern, bevor du patchst: Speicherabbild und mindestens einen Monat Logs vor dem Update archivieren — sonst sind spätere forensische Checks wertlos.
- Erst dann aktualisieren auf die passende gepatchte Version.
- Nach Webshells suchen — auch nach erfolgreichem Update, da ein Patch keinen bereits eingenisteten Angreifer entfernt.
- Logs durchsuchen nach Base64-Zeichenketten direkt nach dem User-Agent-Feld ohne Leerzeichen sowie nach dem Muster „pitboss” gefolgt von „IFS” — beides von Beaumont als Indikator genannt.
- Bei Auffälligkeiten: Forensik-Spezialisten hinzuziehen, wie es Citrix selbst empfiehlt, und die Box auch nach dem Patch weiter auf verdächtigen Datenverkehr beobachten.
FAZIT: Nicht nur patchen, auch nachsehen
Diese Lücke ist ein Lehrstück dafür, warum ein Update allein manchmal nicht reicht. Wenn ein Angreifer wochenlang unbemerkt in deinem Netzwerk sitzt, macht ein Patch aus einem kompromittierten System kein sauberes — er schließt nur die Tür, durch die er ursprünglich hereinkam. Wer eine NetScaler-Box betreibt, sollte heute noch patchen und die Logs durchsuchen, statt sich mit der Aktualisierung allein zufriedenzugeben.
Häufige Fragen
Welche NetScaler-Versionen sind betroffen?
Wie gefährlich ist CVE-2026-88771 wirklich?
Reicht es, einfach zu patchen?
Wer steckt vermutlich hinter den Angriffen?
Was bedeutet die CISA-Frist für mich als Privatnutzer?
Quellen
- Help Net Security — Citrix NetScaler RCE zero-days exploited for weeks (28.09.2026)
- CISA — Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway (27.09.2026)
- The Hacker News — CISA Says Attackers Are Exploiting Two Critical Citrix NetScaler Flaws Globally
- BleepingComputer — Citrix confirms two NetScaler RCE zero-days exploited in attacks