Citrix NetScaler ADC: unzureichende Eingabevalidierung (CVE-2026-88771)

Was ist betroffen, was ist zu tun

Eine Schwachstelle durch unzureichende Eingabe-Validierung in Citrix NetScaler ADC und Citrix NetScaler Gateway. Dieses Problem betrifft ADC: vor 14.1-73.37, vor 13.1-64.23, vor 14.1-73.37 FIPS und vor 13.1.37.279 FIPS und NDcPP; Gateway: vor 14.1-73.37 und vor 13.1-64.23, was es einem nicht authentifizierten Angreifer ermöglicht, beliebige Befehle auszuführen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie Citrix NetScaler ADC auf Version 14.1-73.37, Citrix NetScaler ADC auf Version 13.1-64.23, Citrix NetScaler Gateway auf Version 14.1-73.37. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Citrix NetScaler ADC lt *..14.1-73.37
• Citrix NetScaler ADC lt *..13.1-64.23
• Citrix NetScaler Gateway lt *..14.1-73.37
• Citrix NetScaler Gateway lt *..13.1-64.23

Behoben in

• Citrix NetScaler ADC 14.1-73.37
• Citrix NetScaler ADC 13.1-64.23
• Citrix NetScaler Gateway 14.1-73.37
• Citrix NetScaler Gateway 13.1-64.23

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestandsaufnahme: Alle NetScaler-ADC- und NetScaler-Gateway-Instanzen (physisch, VPX, SDX-Instanzen, Cloud-Marketplace) inventarisieren und die Firmware per show ns version erfassen. Betroffen sind Stände vor 14.1-73.37 und 13.1-64.23 sowie FIPS/NDcPP-Builds vor 13.1-37.279 (Schreibweise laut Kontext „13.1.37.279“) bzw. 14.1-73.37 FIPS.
   • Patch einspielen: Internetexponierte Gateway- und ADC-Instanzen vorrangig auf 14.1-73.37 bzw. 13.1-64.23 aktualisieren. FIPS/NDcPP-Systeme erhalten 13.1-37.279 bzw. 14.1-73.37 FIPS. Bei HA-Paaren zuerst den Secondary aktualisieren, dann ein Failover auslösen.
   • Kompromittierungsprüfung vor und nach dem Patch: Der Patch entfernt keine bereits platzierte Persistenz. Vor dem Update /var/log/, /var/nslog/ und die Webroots sichern (forensisches Abbild für die Beweissicherung).
   • Sitzungen beenden: Nach dem Update kill aaa session -all, kill icaconnection -all, kill rdp connection -all, kill pcoipConnection -all und clear lb persistentSessions ausführen.
   • Zugangsdaten rotieren: Bei Verdacht auf Kompromittierung nsroot, lokale Admin-Konten, LDAP/RADIUS-Bind-Accounts, in ns.conf hinterlegte Service-Credentials und private TLS-Schlüssel rotieren.
   • Meldepflicht prüfen: Bei bestätigter Kompromittierung die NIS2-Meldefristen beachten (Frühwarnung an das BSI innerhalb von 24 h).
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Management-Schnittstellen (NSIP, SNIP mit aktiviertem Management-Zugriff) ausschließlich aus einem dedizierten Admin-VLAN bzw. über einen Jump-Host erreichbar machen. Den Zugriff auf TCP 22/80/443/3010/3008 aus allen anderen Netzen am vorgelagerten Firewall-Regelwerk blockieren.
   • Angriffsfläche reduzieren: Der Eingangsvektor ist im Kontext nicht spezifiziert. Deshalb alle extern erreichbaren virtuellen Server (Gateway, AAA, LB mit GUI) als exponiert behandeln. Nicht benötigte vServer deaktivieren und Gateway-Zugriff temporär per Geo- oder IP-Allowlist einschränken.
   • Ausgehenden Verkehr filtern: Ausgehende Verbindungen der NetScaler-Appliance nur zu bekannten Zielen erlauben (DNS, NTP, Syslog, Auth-Backends). Ein Egress-Deny unterbindet das Nachladen von Payloads und Reverse Shells.
   • IPS/WAF: Vorgelagerte IPS-Signaturen der Hersteller (Suricata ET, Palo Alto, Fortinet) für CVE-2026-88771 aktivieren, sobald diese verfügbar sind. Bis dahin Anfragen mit ungewöhnlich langen Headern bzw. Parametern oder Shell-Metazeichen (;, |, $(, Backticks) zu /vpn/, /oauth/, /cgi/ und /nf/auth/ protokollieren und prüfen.
   • IAM/Least Privilege: Administration über zentrale Authentifizierung mit MFA abwickeln und das lokale nsroot-Konto nur als Notfallkonto mit starkem, tresorverwahrtem Passwort führen.
   • Lebenszyklus: Prüfen, ob noch Release-Linien ohne Herstellersupport im Einsatz sind. Diese sind zu migrieren, da für sie kein Patch zu erwarten ist.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Prozess-Abstammung (Shell-Logs / ps): Kindprozesse von httpd oder nsppe unter Benutzer nobody wie sh, bash, curl, python, perl, nc oder openssl sind hoch verdächtig. Sigma-Form: ParentImage|endswith: '/httpd' AND Image|endswith: ['/sh','/bash','/curl','/python'].
   • Dateisystem-Integrität: Neue oder veränderte Dateien in /netscaler/ns_gui/, /var/netscaler/logon/, /var/vpn/ und /var/python/ suchen, z. B. find /netscaler/ns_gui /var/netscaler/logon /var/vpn -type f \( -name "*.php" -o -name "*.sh" -o -name "*.xhtml" \) -mtime -30. Auffällig sind außerdem unerwartete Einträge in crontab, /etc/rc.netscaler und /nsconfig/rc.netscaler.
   • Webserver-Logs: /var/log/httpaccess.log und ns.log auf Requests mit Shell-Metazeichen, Base64-Blobs oder Zugriffe auf neu angelegte .php-Dateien prüfen. SPL: index=netscaler sourcetype=citrix:httpaccess uri="*.php" status=200 | stats count by src_ip uri.
   • Netzwerk-Telemetrie (Zeek/Suricata): Ausgehende Verbindungen der NSIP/SNIP zu unbekannten externen IPs, insbesondere auf ungewöhnlichen Ports oder mit langen Sitzungsdauern (Reverse Shell), lassen sich in Zeek mit conn.log erkennen: id.orig_h in netscaler_ips and not id.resp_h in allowlist.
   • Absturz-Indikatoren: Wiederholte nsppe-Coredumps in /var/core/ bzw. /var/crash/ können auf fehlgeschlagene Ausnutzungsversuche hindeuten.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Eine Schwachstelle durch unzureichende Eingabe-Validierung in Citrix NetScaler ADC und Citrix NetScaler Gateway. Dieses Problem betrifft ADC: vor 14.1-73.37, vor 13.1-64.23, vor 14.1-73.37 FIPS und vor 13.1.37.279 FIPS und NDcPP; Gateway: vor 14.1-73.37 und vor 13.1-64.23, was es einem nicht authentifizierten Angreifer ermöglicht, beliebige Befehle auszuführen.

Quelle: NCSC NZ (CC BY 4.0), NVD (NIST), CISA KEV Catalog, CVE.org (MITRE), cvelistv5, NCSC UK (OGL v3.0), ASD ACSC (CC BY 4.0), CSA/SingCERT, pwn.watch, certeu_advisory, BSI WID Portal, BSI CSAF

Hersteller und Produkte

• Citrix Citrix NetScaler Application Delivery Controller (ADC)
• Citrix Citrix NetScaler Gateway
• Citrix Netscaler Adc
• Citrix Netscaler Gateway
• Citrix Systems Netscaler Adc
• Citrix Systems Netscaler Adc Fips
• Citrix Systems Netscaler Adc Ndcpp
• Citrix Systems Netscaler Gateway

Weakness-Klassen (CWE)

• CWE-20Improper Input Validation

  Class

  The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.

  Eintrag bei MITRE CWE-20

Quellen & Referenzen

• support.citrix.comsupport-home/kbsearch/article?articleNumber=CTX697096
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-88771government-resource
• cert.atCERT.at: Kritische Sicherheitslücken in Citrix NetScaler ADC und NetScaler Gateway - aktiv ausgenutzt - Updates verfügbarcert-at
• cert.cyber.gouv.frANSSI / CERT-FR: CERTFR-2026-ALE-011 – Multiples vulnérabilités dans Citrix NetScaler ADC et Gatewaycert-fr
• pwn.watchpwn.watch: Citrix NetScaler ADC and Gateway: two unauthenticated RCE zero-days under active exploitation (CVE-2026-88771, CVE-2026-88772)pwn-watch
• support.citrix.comCitrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771 through CVE-2026-88778 (CTX697096)pwn-watch
• support.citrix.comCitrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-107406 (CTX697191)pwn-watch
• cisa.govCritical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gatewaypwn-watch
• cyber.gc.caAL26-024: Critical vulnerabilities affecting Citrix NetScaler ADC and NetScaler Gatewaypwn-watch
• cert.europa.euCERT-EU 2026-014: Critical Vulnerabilities in Citrix NetScaler ADC and Gatewaypwn-watch
• rapid7.comRapid7 Analysis: NetScaler intrusions chaining CVE-2026-88771 and CVE-2026-88779pwn-watch
• cybersecuritytimes.comZscaler Detects Coordinated Exploitation Attempts Targeting Critical NetScaler RCE Flawpwn-watch
• JPCERT/CCJPCERT/CC JPCERT-AT-2026-0029: NetScaler ADCおよびNetScaler Gatewayにおける複数の脆弱性（CVE-2026-88771、CVE-2026-88772等）に関する注意喚起jpcert

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 29.09.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	entfernt	{"id":"CVE-2026-88771","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-28T12:43:00.920024Z"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-88771","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-27T00:00:00+00:00"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 28.09.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	entfernt	{"id":"CVE-2026-88771","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-27T00:00:00+00:00"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-88771","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-28T12:43:00.920024Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

3. 28.09.2026Erstanalyse durch die NVDNVD

   Neu als betroffen eingetragen:

   • Citrix NetScaler Application Delivery Controller (ADC) (13.1 – vor 13.1-64.23; 14.1 – vor 14.1-73.37; 13.1 – vor 13.1.37.279; 14.1-66.68 – bis 14.1-73.37)
   • Citrix NetScaler Gateway (13.1 – vor 13.1-64.23; 14.1 – vor 14.1-73.37)

   CVSS V3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-88771
   • https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697096
   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   CVSS	ergänzt	—	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
   Produktkonfiguration	ergänzt	—	OR *cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:-:*:*:* versions from (including) 13.1 up to (excluding) 13.1-64.23 *cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:-:*:*:* versions from (including) 14.1 up to (excluding) 14.1-73.37 *cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:fips:*:*:* versions from (including) 13.1 up to (excluding) 13.1.37.279 *cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:fips:*:*:* versions from (including) 14.1-66.68 up to (including) 14.1-73.37 *cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:ndcpp:*:*:* versions from (including) 13.1 up to (excluding) 13.1.37.279 *cpe:2.3:a:citrix:netscaler_gateway:*:*:*:*:*:*:*:* versions from (including) 13.1 up to (excluding) 13.1-64.23 *cpe:2.3:a:citrix:netscaler_gateway:*:*:*:*:*:*:*:* versions from (including) 14.1 up to (excluding) 14.1-73.37
   Referenztyp	ergänzt	—	CISA-ADP: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-88771 Types: US Government Resource
   Referenztyp	ergänzt	—	NetScaler: https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697096 Types: Vendor Advisory

   Kennung der Quelle: nvd@nist.gov

4. 28.09.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: nein

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	entfernt	{"id":"CVE-2026-88771","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-27T22:01:35.729666Z"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-88771","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-27T00:00:00+00:00"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

5. 27.09.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	entfernt	{"id":"CVE-2026-88771","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-27T19:57:06.610147Z"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-88771","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-27T22:01:35.729666Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.

Verknüpfte Advisories

• Regierungs- und Finanzorganisationen im Visier von NetScaler Zero-Day-AngriffenSecurityWeek30.09.2026
• NCSC-2026-0394 [1.01] [H/H] Schwachstellen behoben in NetScaler ADC und NetScaler GatewayNCSC-NL30.09.2026
• NetScaler-Admins aufgefordert, kritische Zero-Day-Lücken zu patchenCSO Online28.09.2026
• Citrix bestätigt zwei NetScaler Zero-Day-LückenSecurityWeek28.09.2026
• CISA warnt vor globaler Ausnutzung kritischer Citrix NetScaler-SchwachstellenThe Hacker News28.09.2026
• Multiples vulnérabilités in Citrix NetScaler ADC und GatewayCERT-FR (ANSSI)28.09.2026
• NCSC-2026-0394 [1.00] [H/H] Schwachstellen behoben in NetScaler ADC und NetScaler GatewayNCSC-NL27.09.2026
• Warnung an Citrix-Admins: NetScaler wegen 2 Zero-Days abschaltenBleepingComputer27.09.2026