Citrix NetScaler: 28 Lücken, 9 kritisch – Patches verfügbar

Citrix NetScaler: 28 Lücken, 9 kritisch – Patches verfügbar

Schwerwiegende DoS-Schwachstelle in Standardkonfiguration

Citrix hat Sicherheitsupdates für NetScaler ADC und NetScaler Gateway veröffentlicht. Insgesamt 28 Schwachstellen werden geschlossen, davon neun mit dem Risiko „kritisch“. Besonders brisant: CVE-2026-120868 (CVSS 9,5) betrifft beide Produkte in der Standardkonfiguration. Ein Speicherfehler in der Paketverarbeitung kann zu unvorhersehbarem Verhalten oder Denial-of-Service-Zuständen führen.

Weitere kritische Lücken erfordern bestimmte Konfigurationen

Als am gefährlichsten gilt CVE-2026-107412 („kritisch“, CVSS 9,5). Für eine Ausnutzung muss NetScaler als Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder als AAA-Virtual-Server konfiguriert sein. Weitere kritische DoS-Lücken: DNS-Load-Balancing per DNS-over-HTTPS (CVE-2026-107409) und DNS-Load-Balancing mit rekursiver DNS-Auflösung (CVE-2026-107408).

Monatliche Patch-Zyklus ab sofort

Citrix kündigt an, künftig monatlich zu einem festen Zeitpunkt nahe am Patch Tuesday Sicherheitspatches zu veröffentlichen. In dringenden Fällen sind Updates außerhalb dieses Rhythmus möglich. Die aktuellen Patches sind die ersten im Rahmen dieses Programms. Einige Lücken wurden mit KI-gestützter Code-Analyse entdeckt. Bislang keine Berichte über aktive Ausnutzung.

Quellen

heise online: Angreifer können Citrix NetScaler ADC und NetScaler Gateway lahmlegen (12.11.2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.