Citrix hat Updates veröffentlicht, um die kritische Schwachstelle CVE-2026-107406 in NetScaler ADC und NetScaler Gateway zu beheben, die bei bestimmten SAML-Konfigurationen zu Remote Code Execution oder Denial of Service führen kann; gefährdet sind Organisationen, die NetScaler als SAML-Identity-Provider oder -Service-Provider einsetzen, einschließlich hybrider Secure Private Access-Deployments, und sie müssen verwundbare Instanzen umgehend auf die fehlerbereinigten Versionen aktualisieren, auch wenn bislang keine bestätigte Ausnutzung bekannt ist.
Technische Details der Schwachstelle und betroffene Konfigurationen
Dem Citrix-Sicherheitshinweis CTX697191 mit der Beschreibung der Schwachstelle zufolge handelt es sich bei CVE-2026-107406 um einen Speicherüberlauf, der ausgenutzt werden kann für:
- Remote Code Execution (RCE);
- das Außerbetriebsetzen des Geräts (DoS).
Die Schwachstelle weist einen CVSS-Score von 9.5 von 10 auf und fällt damit in die Kategorie kritisch. Zum Zeitpunkt der Veröffentlichung lagen Citrix keine Hinweise auf eine Ausnutzung der Schwachstelle „in the wild“ vor. Der Hersteller gibt an, dass ein erfolgreicher Angriff nur bei bestimmten Konfigurationen in Verbindung mit der SAML-Authentifizierung möglich ist:
- wenn NetScaler als SAML Service Provider (SP) konfiguriert ist und die Konfiguration Zeilen des Typs add authentication samlAction enthält;
- wenn NetScaler als SAML Identity Provider (IdP) konfiguriert ist und die Konfiguration Zeilen des Typs add authentication samlIdPProfile enthält.
Betroffene Versionen bei Rolle als SAML IdP
Beim Einsatz des Geräts in der Rolle als SAML IdP sind folgende Versionszweige betroffen:
- NetScaler ADC und NetScaler Gateway:
- von 14.1-73.37 bis einschließlich 14.1-73.41;
- von 13.1-64.23 bis einschließlich 13.1-64.28.
- NetScaler ADC 14.1-FIPS:
- von 14.1-73.37 FIPS bis einschließlich 14.1-73.41 FIPS.
- NetScaler ADC 13.1-FIPS:
- von 13.1-NDcPP 13.1-37.279 bis einschließlich 13.1-37.282.
Betroffene Versionen bei Rolle als SAML SP oder IdP
Wenn NetScaler als SAML SP oder IdP genutzt wird, sind alle früheren Releases der folgenden Zweige verwundbar:
- NetScaler ADC und NetScaler Gateway:
- alle Versionen vor 14.1-73.37;
- alle Versionen vor 13.1-64.23.
- NetScaler ADC 14.1-FIPS:
- alle Versionen vor 14.1-73.37 FIPS.
- NetScaler ADC 13.1-FIPS:
- alle Versionen vor 13.1-NDcPP 13.1-37.279.
Die Schwachstelle wurde in den folgenden Versionen behoben, die Citrix als sicheren Zielstand empfiehlt:
- NetScaler ADC und NetScaler Gateway:
- 14.1-73.46 und neuer;
- 13.1-64.29 und spätere Releases des Zweigs 13.1.
- NetScaler ADC 14.1-FIPS:
- 14.1-73.46 FIPS und neuere Releases.
- NetScaler ADC 13.1-FIPS und 13.1-NDcPP:
- 13.1-37.283 und spätere Versionen dieser Linien.
Zusätzliche Details zur CVSS-Bewertung und zu den Eigenschaften der Schwachstelle lassen sich über den NVD-Eintrag zu CVE-2026-107406 nachverfolgen (sobald dieser veröffentlicht ist).
Bedrohungskontext: Serie von Angriffen auf NetScaler
Der Fix für CVE-2026-107406 erscheint vor dem Hintergrund, dass drei weitere Schwachstellen in NetScaler ADC und NetScaler Gateway — CVE-2026-88771, CVE-2026-88772 und CVE-2026-88779 — bereits aktiv ausgenutzt werden. Auch für sie werden NVD-Einträge unter folgenden Adressen verfügbar sein oder sind es bereits:
- CVE-2026-88771
- CVE-2026-88772
- CVE-2026-88779
Das schafft einen ungünstigen Rahmen für jede neue NetScaler-Schwachstelle: Selbst wenn CVE-2026-107406 aktuell noch nicht in Angriffen eingesetzt wird, erhöht das Vorhandensein anderer aktiv ausnutzbarer Schwachstellen im selben Produkt die Motivation von Angreifern erheblich, zügig Exploits auch für diese Lücke zu entwickeln. De facto wird jedes nicht aktualisierte Gerät zu einem um ein Vielfaches attraktiveren Ziel.
Citrix weist gesondert darauf hin, dass auch Secure Private Access Hybrid-Deployments verwundbar sind, in denen NetScaler-Instanzen genutzt werden: Das Unternehmen hat im Community-Portal eine Empfehlung mit sofortigen Maßnahmen in einer Notiz mit praxisnahem Leitfaden zu CVE-2026-107406 veröffentlicht.
Bewertung der Auswirkungen auf Business und Infrastruktur
Am stärksten gefährdet sind Organisationen, in denen NetScaler folgende Funktionen übernimmt:
- zentrale Zugangskomponente für den Remote-Zugriff auf interne Anwendungen;
- SAML-Identity-Provider oder -Service-Provider für geschäftskritische Systeme;
- Knoten in einer hybriden Secure Private Access-Architektur.
Ein Speicherüberlauf mit der Möglichkeit zur Remote Code Execution in einer solchen Komponente bedeutet, dass ein Angreifer potenziell Folgendes tun kann:
- die Kontrolle über das Gerät an der Netzgrenze erlangen;
- Authentifizierungssitzungen manipulieren oder abfangen;
- NetScaler als Ausgangspunkt für ein weiteres Vordringen in das interne Netz nutzen;
- die Verfügbarkeit des Remote-Zugriffs und interner Webanwendungen durch einen DoS-Effekt beeinträchtigen.
Selbst wenn sich der Angriffsumfang auf einen Denial of Service beschränkt, sind die Folgen spürbar: Ausfall des Remote-Zugriffs, Schichtausfälle, Nichtverfügbarkeit interner Portale, Verzögerungen bei der Bearbeitung von Kundenanfragen. Bei erfolgreicher Remote Code Execution ist zudem eine Kompromittierung von Zugangsdaten und Sitzungstokens möglich, was Risiken eines unautorisierten Zugriffs auf über SAML authentifizierte Systeme mit sich bringt.
Praktische Empfehlungen zum Schutz
1. Unverzügliche Priorisierung der Updates
- Ermitteln Sie alle NetScaler ADC / NetScaler Gateway-Instanzen, die aus dem Internet erreichbar sind oder in kritischen internen Segmenten eingesetzt werden.
- Vergleichen Sie deren Versionen mit der Liste verwundbarer und behobener Releases im Sicherheitshinweis Citrix CTX697191.
- Wenn SAML-Konfigurationen vorhanden sind (Zeilen add authentication samlAction oder add authentication samlIdPProfile in der Konfiguration), behandeln Sie diese Instanzen als Priorität „kritisch“.
- Aktualisieren Sie sie mindestens auf:
- 14.1-73.46 oder neuer für den Zweig 14.1;
- 13.1-64.29 oder neuer für den Zweig 13.1;
- 14.1-73.46 FIPS bzw. 13.1-37.283 und höher für FIPS-/NdcPP-Varianten.
2. Secure Private Access Hybrid
- Falls Sie Secure Private Access Hybrid einsetzen, erfassen Sie alle beteiligten NetScaler-Knoten.
- Prüfen Sie deren Versionen und Rollen (SAML IdP/SP) und aktualisieren Sie sie auf die empfohlenen Releases gemäß der Citrix-Anleitung im Community-Portal zur Risikoreduzierung von CVE-2026-107406.
3. Temporäre Reduzierung der Angriffsfläche
Wenn ein zeitnahes Update nicht möglich ist (z. B. wegen aufwendiger Testprozeduren), sollten temporäre Maßnahmen in Betracht gezogen werden:
- Verschiebung der virtuellen Server mit SAML-Authentifizierung auf einen aktualisierten Cluster;
- Deaktivierung nicht geschäftskritischer SAML-Profile oder virtueller Server mit SAML, wo dies mit den Business-Anforderungen vereinbar ist;
- Beschränkung des direkten Zugriffs auf die Administrationsoberflächen von NetScaler auf interne Adressen/Wartungszeiten.
4. Monitoring und Reaktion
- Verstärken Sie das Monitoring der NetScaler-Protokolle auf Auffälligkeiten bei der Authentifizierung, Prozessabstürze und einen sprunghaften Anstieg von Fehlern.
- Abgleichen verdächtiger Aktivitäten mit bekannten Indikatoren für Angriffe auf andere CVE in NetScaler (CVE-2026-88771, CVE-2026-88772, CVE-2026-88779), unter Nutzung von NVD-Daten und Branchenberichten.
- Bereiten Sie Rollback-Szenarien und einen Business-Continuity-Plan für den Fall vor, dass ein Notneustart oder eine vorübergehende Außerbetriebnahme des Geräts erforderlich wird.
Die zentrale Erkenntnis für Betreiber von Citrix NetScaler lautet: Wenn in Ihrer Infrastruktur SAML-Konfigurationen oder hybride Secure Private Access-Deployments zum Einsatz kommen, müssen Sie in nächster planbarer Wartungszeit alle betroffenen NetScaler ADC und NetScaler Gateway auf Versionen von mindestens 14.1-73.46 oder 13.1-64.29 (und für FIPS/NdcPP auf 13.1-37.283) aktualisieren, nachdem Sie zuvor die SAML-Einstellungen anhand der genannten Konfigurationszeilen inventarisiert und das Monitoring für den Zeitraum vor und nach dem Update verstärkt haben.
