Eine 9,5er-Lücke, die eine bestimmte Konfiguration braucht
Am 9. Oktober veröffentlichte Citrix Patches für CVE-2026-107406, einen Speicherüberlauf in NetScaler ADC und NetScaler Gateway, der unter bestimmten Konfigurationsbedingungen zu Remote-Codeausführung oder Dienstverweigerung führen kann. Er hat 9,5 Punkte nach CVSS v4.0 und ist als CWE-119 eingestuft, unzulässige Beschränkung von Operationen innerhalb eines Speicherpuffers.
Citrix sagt, es gebe keine Hinweise auf Ausnutzung in freier Wildbahn, doch The Register vermerkt, dass offenblieb, ob die Lücke vor der Offenlegung als Zero-Day genutzt wurde. Citrix nannte Forscher des XOR-Teams von JPMorgan Chase und Maxim Suhanov als Entdecker.
Der Zwei-Zeilen-Check
Die Lücke lässt sich nur ausnutzen, wenn die Appliance als SAML-Identity-Provider oder als Service Provider konfiguriert ist, und die Konfiguration zeigt, welcher Fall vorliegt.
The Hacker News nennt zwei Einträge, nach denen man suchen soll. Ein SAML-Service-Provider hat eine Zeile, die mit add authentication samlAction beginnt, ein SAML-Identity-Provider eine, die mit add authentication samlIdPProfile beginnt. Durchsuchen Sie Ihre gespeicherte Konfiguration nach beiden. Findet sich keine, ist diese Bedingung nicht erfüllt, was die Appliance aber nicht von den anderen NetScaler-Lücken unten ausnimmt.
Welche Builds betroffen sind
Welche Builds verwundbar sind, hängt von der SAML-Rolle ab. Ältere Builds sind in beiden Rollen betroffen, einige neuere nur als Identity Provider.
| Zweig | Betroffen als SAML-SP oder -IdP | Nur betroffen als SAML-IdP | Behoben in |
|---|---|---|---|
| ADC und Gateway 14.1 | Vor 14.1-73.37 | 14.1-73.37 bis 14.1-73.41 | 14.1-73.46 und später |
| ADC 14.1-FIPS | Vor 14.1-73.37 FIPS | 14.1-73.37 FIPS bis 14.1-73.41 FIPS | 14.1-73.46 FIPS und später |
| ADC und Gateway 13.1 | Vor 13.1-64.23 | 13.1-64.23 bis 13.1-64.28 | 13.1-64.29 und später |
| ADC 13.1-FIPS und 13.1-NDcPP | Vor 13.1-37.279 | 13.1-37.279 bis 13.1-37.282 | 13.1-37.283 und später |
Auch Secure-Private-Access-Hybrid-Bereitstellungen, die NetScaler-Instanzen nutzen, sind betroffen und brauchen dasselbe Upgrade. Citrix kümmert sich selbst um die Updates seiner verwalteten Cloud-Dienste und der Adaptive Authentication, dort muss also nichts installiert werden, während alle, die eigene Appliances betreiben, diese aktualisieren müssen.
Dasselbe Feature steckt hinter den ausgenutzten Lücken
The Hacker News nennt drei weitere NetScaler-Lücken unter aktiver Ausnutzung: CVE-2026-88771, CVE-2026-88772 und CVE-2026-88779. Google-Forscher sagten, eine Kampagne, die CVE-2026-88772 ausnutzt, laufe seit mindestens Anfang September, betroffen seien wohl Organisationen aus Regierung, Finanzwesen, Recht und Bildung in Nordamerika und Europa, berichtet The Register. Citrix hat CVE-2026-88779 mit Bewertung 8,7 am Freitag davor offengelegt, und The Register vermerkt, dass diese und die neue Lücke beide Speicherüberläufe sind, die SAML-Konfigurationen betreffen.
Citrix hat die neue Lücke nicht als ausgenutzt bezeichnet, und das ist eine Aussage über heute. Weil dasselbe Feature in den letzten Wochen ausgenutzte Lücken hervorgebracht hat, würden wir davon ausgehen, dass auch Angreifer diesen Hinweis lesen.
Eine Reihenfolge für diese Woche
Führen Sie zuerst den Konfigurationscheck durch, denn er sortiert Ihre Appliances in die, die diese Woche gepatcht werden müssen, und die, die auf den normalen Zyklus warten können.
Appliances mit SAML-Konfiguration kommen zuerst dran, auf 14.1-73.46, 13.1-64.29 oder den passenden FIPS-Build, und alles, dem noch die Fixes für die drei ausgenutzten Lücken fehlen, geht dieser hier vor. Wenn ein Upgrade nicht binnen 72 Stunden möglich ist, begrenzen Sie in der Zwischenzeit, wer die SAML-Endpunkte erreichen kann.
Behandeln Sie NetScaler danach wie jedes aus dem Internet erreichbare Authentifizierungs-Gateway: ein benannter Verantwortlicher, ein Abonnement für Sicherheitshinweise und ein fester Patch-Termin. Citrix hat nun zusätzlich zu drei ausgenutzten Lücken innerhalb weniger Wochen einen kritischen Hinweis veröffentlicht, und ein Monatszyklus deckt ein solches Muster nicht ab.
Weiterlesen: Im Juni gepatcht, im August ausgenutzt: die NetScaler-Lücke | CitrixBleed ist zurück, in einem Tag ausgenutzt
