CISA warnt vor aktiver Ausnutzung einer Speichersicherheitslücke in NetScaler

Die Cybersecurity and Infrastructure Security Agency (CISA) hat die Schwachstelle CVE-2026-88779 in ihren Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen, nachdem Berichte über aktive Angriffe auf Geräte der Typen Citrix NetScaler ADC und Gateway eingegangen sind. Die Speicherüberlauf-Sicherheitslücke ermöglicht es Angreifern, wiederholt Denial-of-Service-Zustände auszulösen, was zum Absturz und Neustart betroffener Systeme führt.

Gezielte Angriffe und Hinweise auf Ausnutzung

Citrix berichtete von gezielten Angriffen auf ungepatchte On-Premises-Installationen. Das Unternehmen wies darauf hin, dass der Fehler zwar die Dienstverfügbarkeit beeinträchtigt, jedoch keine Auswirkungen auf die Integrität von Kundendaten festgestellt wurden. Sicherheitsforscher von Bishop Fox und watchTowr machten auf die Sicherheitslücke aufmerksam, wobei watchTowr die Reproduktion des Problems bestätigte. Systemadministratoren auf Reddit meldeten Geräteabstürze nach kürzlichen Patch-Routinen für andere Zero-Day-Sicherheitslücken. Der Sicherheitsforscher Kevin Beaumont beobachtete zudem automatisierte Angriffe, bei denen versucht wurde, Skripte zur Bereitstellung von Webshells und Schadsoftware auszuführen. Ein Threat Hunter bei Geico stellte darüber hinaus eine SIGMA-Regel bereit, um Teams beim Erkennen von Sondierungs- und Ausnutzungsversuchen zu unterstützen.

Betroffene Konfigurationen und Maßnahmen zur Behebung

Die Sicherheitslücke betrifft On-Premises-NetScaler-Geräte, die so konfiguriert sind, dass sie die SAML-Authentifizierung entweder als Dienstanbieter oder Identitätsanbieter in Kombination mit Gateway- oder AAA-Funktionalitäten nutzen. Betroffen sind unter anderem die Versionen NetScaler ADC und Gateway 14.1 vor 14.1-73.41, 13.1 vor 13.1-64.28 sowie bestimmte FIPS- und NDcPP-Builds vor 14.1-73.41 FIPS und 13.1-37.282. Citrix empfiehlt die Aktualisierung auf korrigierte Versionen sowie die Anwendung von Signaturen der Global Deny List, um den Zugriff von bösartigen IP-Adressen während der Vorbereitung von Patches einzuschränken.

Überprüfung auf Kompromittierung und behördliche Vorgaben

Citrix hat über die NetScaler Console ein Skript zur Erkennung von Kompromittierungsindikatoren bereitgestellt, das Administratoren beim Scannen nach Eindringversuchen unterstützen soll. watchTowr merkte jedoch an, dass das Tool Fehlalarme bezüglich verdächtiger Prozesse ausgeben kann. Daher wird empfohlen, vor dem Einspielen von Updates eine sorgfältige Überprüfung durchzuführen und Beweise zu sichern. Die CISA hat US-amerikanische zivile Bundesbehörden angewiesen, die Sicherheitslücke bis zum 7. Oktober zu beheben und ihre Netzwerke auf Kompromittierungen zu untersuchen.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: CISA flags new exploited NetScaler flaw as attackers crash appliances (CVE-2026-88779)