Zwei Monate zwischen Patch und Panik
Citrix schloss die Sicherheitslücke CVE-2026-8452, einen Speicherüberlauf in NetScaler ADC und NetScaler Gateway, am 30. Juni 2026. Zwei Monate lang stand sie in den Advisories nur als vager "Memory Overflow", eine Beschreibung, die selten dazu führt, dass ein Patch ganz oben auf der Liste landet.
Das änderte sich, als die Sicherheitsforscher von WatchTowr einen öffentlichen Proof-of-Concept veröffentlichten, der aus dem Speicherüberlauf unauthentifizierte Remote-Codeausführung machte. Sobald die Funktionsweise bekannt war, konnte jeder Angreifer mit diesem Code ungepatchte NetScaler-Appliances direkt angreifen, ganz ohne gültige Zugangsdaten.
Vom Proof-of-Concept zur aktiven Ausnutzung
Die CISA nahm CVE-2026-8452 am 26. August 2026 in ihren Known-Exploited-Vulnerabilities-Katalog auf und setzte US-Bundesbehörden eine Frist bis zum 29. August 2026. Der KEV-Eintrag bestätigt, was der Proof-of-Concept möglich gemacht hat: reale Angriffe, kein theoretisches Laborrisiko.
Angreifer platzieren bereits Webshells auf kompromittierten Appliances - beobachtet wurden unter anderem die Dateinamen x.php und z.php - und zwar auf NetScaler-Gateway- und AAA-Virtual-Server-Konfigurationen. Genau diese Konfigurationen setzen Unternehmen in der EU und im Vereinigten Königreich für SSL-VPN, ICA-Proxy, CVPN und RDP-Proxy im Fernzugriff ein, sodass eine kompromittierte Appliance einem Angreifer direkten Zugang zu genau den Systemen verschafft, die den Fernzugriff eigentlich absichern sollen.
Welche NetScaler-Versionen wirklich gepatcht sind
Der Citrix-Fix liegt in drei konkreten Builds vor, und wer eine ältere Version betreibt, lässt den Weg zur unauthentifizierten Codeausführung offen. Die gepatchten Versionen sind 14.1-72.61, 13.1-63.18 und 13.1-37.272.
| Reihe | Gepatchte Version |
|---|---|
| NetScaler 14.1 | 14.1-72.61 |
| NetScaler 13.1 | 13.1-63.18 |
| NetScaler 13.1 (älterer Zweig) | 13.1-37.272 |
Die Sicherheitsfirma Bishop Fox bestätigte in einer technischen Analyse, wie der Patch den Angriffsweg schließt, und dass Appliances auf diesen Builds gegen die von WatchTowr veröffentlichte Technik nicht mehr angreifbar sind.
Die Governance-Lehre: Ein geschlossenes Ticket ist kein geprüfter Patch
Ein am 30. Juni 2026 geschlossenes Ticket zeigt nur, dass jemand das Advisory von Citrix zur Kenntnis genommen hat - nicht, dass der Patch tatsächlich auf jeder Appliance installiert wurde. Das eigentliche Zeitfenster der Gefährdung durch CVE-2026-8452 öffnete sich nicht im Juni, sondern im August, in dem Moment, in dem der Proof-of-Concept von WatchTowr aus einer vagen Beschreibung einen funktionierenden Exploit machte, den jeder Angreifer kopieren konnte.
Für Unternehmen in der EU und im Vereinigten Königreich, die NetScaler Gateway für VPN oder Fernzugriff einsetzen, lautet die entscheidende Frage heute nicht, ob das Juni-Ticket geschlossen wurde. Sie lautet, ob die Appliance tatsächlich 14.1-72.61, 13.1-63.18 oder 13.1-37.272 ausführt - und ob diese Versionsnummer direkt am Gerät bestätigt wurde, statt nur aus einem Änderungsprotokoll übernommen zu werden. Die Berichterstattung von BleepingComputer über die Anordnung der CISA macht denselben Punkt für Bundesbehörden deutlich, die jetzt vor einer Frist am Samstag stehen: Das Datum des Advisorys und das Datum der Überprüfung sind nicht dasselbe Datum, und nur Letzteres schließt die Lücke wirklich.
Weiterlesen: 9,8 CVSS: macOS-VNC-Lücke schürft jetzt Monero | Der April-Patch für Ihr VPN wird jetzt ausgenutzt
