Es ist die dritte ernste NetScaler-Warnung innerhalb weniger Monate: Citrix hat am 3. Oktober 2026 ein Sicherheitsbulletin (CTX697174) veröffentlicht, das eine neue Schwachstelle in NetScaler ADC und NetScaler Gateway beschreibt — und bestätigt, dass die Lücke bereits in gezielten Angriffen ausgenutzt wird.
WAS GENAU DAS PROBLEM IST
Die Schwachstelle trägt die Kennung CVE-2026-88779 und ist technisch ein Memory-Overflow, der zu einem Denial-of-Service führt — die betroffene NetScaler-Instanz stürzt ab oder wird unerreichbar. Anders als bei den beiden vorangegangenen NetScaler-Wellen in diesem Jahr geht es hier also nicht um eine vollständige Server-Übernahme, sondern um einen gezielten Ausfall der Appliance. Betroffen sind ausschließlich Geräte, die als SAML-Service-Provider oder SAML-Identity-Provider konfiguriert sind — also dort, wo NetScaler als Baustein für Single-Sign-On-Infrastrukturen eingebunden ist.
Der CVSS-v4.0-Wert liegt bei 8,7. Das ist niedriger als die zuvor behandelten NetScaler-Lücken mit Werten um 9,2 bis 9,8 — aber ein erfolgreicher Angriff kann trotzdem komplette SSO-Anmeldeketten lahmlegen, was in Unternehmensumgebungen schnell zu Ausfällen bei Dutzenden angebundenen Diensten führt.
SCHON WIEDER UNTER BESCHUSS
Mehrere Sicherheitsfirmen, darunter Field Effect und Techzine, bestätigen, dass Citrix bereits gezielte Angriffsversuche gegen einzelne Kunden registriert hat. Eine breite, automatisierte Massenausnutzung wie bei früheren NetScaler-Wellen ist bislang nicht dokumentiert — die Angriffe wirken nach aktuellem Kenntnisstand eher selektiv. Das ändert aber nichts an der Dringlichkeit: Wer eine der dritten NetScaler-Lücke binnen weniger Monate ignoriert, hat am Ende drei offene Baustellen gleichzeitig.
WER PRÜFEN SOLLTE, OB ER BETROFFEN IST
Relevant ist die Lücke vor allem für Unternehmen und Homelab-Betreiber, die NetScaler als Reverse-Proxy mit SAML-Anbindung einsetzen — etwa um einen zentralen Login für mehrere interne Webanwendungen bereitzustellen. Wer NetScaler ausschließlich als klassischen Load-Balancer ohne SAML-Konfiguration betreibt, ist von dieser konkreten Schwachstelle nicht betroffen, sollte aber trotzdem zeitnah patchen, da Citrix in solchen Bulletins regelmäßig mehrere Fixes gleichzeitig ausliefert.
SO SCHÜTZT DU DEINE INSTANZ
Citrix hat mit dem Bulletin passende Fix-Builds für die betroffenen NetScaler-Versionslinien bereitgestellt. Der erste Schritt ist simpel, aber entscheidend:
- Prüfe in der Management-Konsole, ob deine Instanz als SAML SP oder IdP konfiguriert ist.
- Installiere das von Citrix im Bulletin CTX697174 benannte Fix-Build für deine Versionslinie.
- Bis zum Update: SAML-Endpunkte nicht unnötig offen ins Internet stellen, Zugriff wo möglich auf bekannte IP-Bereiche einschränken.
Ein öffentlicher Exploit-Code ist nach aktuellem Stand nicht bekannt — das kann sich aber, wie die vorherigen NetScaler-Fälle gezeigt haben, innerhalb weniger Tage ändern.