Kundenportal
Kundenportal

Security Alert · Schwachstelle

Citrix NetScaler ADC und Gateway: neun kritische Lücken, darunter im VPN-Zugang

Risiko mittelVeröffentlicht Aktualisiert
Risikostufe
Mittel
Kategorie
Schwachstelle
Betroffene Systeme
Selbst betriebene NetScaler ADC und NetScaler Gateway 14.1 vor 14.1-73.57 und 13.1 vor 13.1-64.39
NetScaler ADC FIPS vor 14.1-73.58 FIPS sowie FIPS/NDcPP vor 13.1-37.293
NetScaler Console sowie Citrix Secure Access Client für Windows und Linux (eigene Bulletins)
Abhilfe verfügbar
NetScaler ADC und Gateway auf 14.1-73.57, 13.1-64.39 bzw. die genannten FIPS-/NDcPP-Versionen oder neuer aktualisieren, danach NetScaler Console und Secure Access Client
Quelle
Citrix Security Bulletin CTX697305, Citrix Community, Citrix Security Bulletin CTX697320, Citrix Security Bulletin CTX697280, Citrix Security Bulletin CTX697281

Was ist passiert?

Citrix hat am 12.11.2026 Sicherheitsupdates für selbst betriebene NetScaler ADC und NetScaler Gateway veröffentlicht. Das Bulletin CTX697305 führt zahlreiche Lücken auf, neun davon mit einer kritischen Bewertung (CVSS 4.0 ab 9.0). Die gefährlichste, CVE-2026-107412 (CVSS 9.5), betrifft Geräte, die als Gateway für Fernzugriffe (SSL-VPN, ICA-Proxy, CVPN, RDP-Proxy) oder als Anmeldeserver (AAA) eingerichtet sind. CVE-2026-120868 (CVSS 9.3) steckt in der Paketverarbeitung und betrifft alle NetScaler-ADC- und Gateway-Installationen schon in der Standardeinstellung; sie kann zu Fehlverhalten oder einem Ausfall des Geräts führen. Die übrigen Lücken setzen bestimmte Funktionen voraus, etwa DNS-Lastverteilung, SAML-, WebAuth- oder E-Mail-OTP-Anmeldung.

Zusätzlich hat Citrix eigene Bulletins für NetScaler Console und den Citrix Secure Access Client für Windows und Linux veröffentlicht. Laut Citrix-Blog sind dem Hersteller zum Zeitpunkt der Veröffentlichung keine ungeschützten Ausnutzungen der Lücken bekannt; Kompromittierungsindikatoren (IOCs) gibt Citrix deshalb nicht heraus. Einen Teil der Lücken hat das eigene Sicherheitsteam nach Herstellerangaben mit KI-gestützter Code-Analyse gefunden. Standard-Sicherheitsupdates veröffentlicht Citrix künftig in einem festen Monatsrhythmus mit vorab angekündigten Terminen.

Von Citrix verwaltete Cloud-Dienste (unter anderem Secure Private Access, Gateway Service, Adaptive Authentication und NetScaler Console Service) hat der Hersteller bereits selbst aktualisiert.

Wer ist betroffen?

Unternehmen und Behörden, die NetScaler ADC oder NetScaler Gateway selbst betreiben, etwa als VPN- oder Citrix-Zugang für Homeoffice, mit Versionen vor 14.1-73.57 bzw. 13.1-64.39 (FIPS: vor 14.1-73.58 FIPS bzw. 13.1-37.293). Außerdem Nutzer von NetScaler Console und des Secure Access Client.

Wie hoch ist das Risiko?

Mittel. Das ist die redaktionelle Einschätzung von Blured. Citrix stuft mehrere Lücken als kritisch ein, und NetScaler-Geräte stehen meist direkt im Internet. Ausnutzungen sind bisher nicht bekannt. Weil NetScaler-Geräte in der Vergangenheit wiederholt schnell nach Bekanntwerden von Lücken angegriffen wurden, sollte das Update trotzdem zügig eingespielt werden.

So schützen Sie sich

  1. NetScaler ADC und NetScaler Gateway zügig auf 14.1-73.57 bzw. 13.1-64.39 oder neuer aktualisieren; FIPS-Geräte auf 14.1-73.58 FIPS, FIPS/NDcPP-Geräte der Reihe 13.1 auf 13.1-37.293 oder neuer. Citrix empfiehlt das Update auch dann, wenn keine der genannten Voraussetzungen zutrifft.
  2. Reihenfolge laut Citrix: zuerst NetScaler und Gateway, danach NetScaler Console aktualisieren. Den Secure Access Client auf Windows- und Linux-Rechnern ebenfalls aktualisieren.
  3. Das Update in ein Wartungsfenster legen: Bestehende ICA-Sitzungen werden dabei beendet und müssen neu aufgebaut werden.
  4. Nach dem Update Protokolle auf ungewöhnliche Anmeldungen, Abstürze und Neustarts prüfen. VPN- und Fernzugänge grundsätzlich mit MFA absichern.

Quellen

Mehr zum Thema

Akuter Verdacht oder Fragen zu Ihren Systemen?

Bestandskunden und technische Fälle: Unser Support prüft mit Ihnen.

[email protected]Zum Kundenportal

Absicherung neu planen? [email protected]

Stand: 13.11.2026

© 2026 Blured · BDT Group GmbH