Citrix schliesst 28 NetScaler-Lücken — eine ganz ohne Login: Patch bis Montag

Wenn Ihr Unternehmen Citrix NetScaler ADC oder Gateway als Eingangstor für den Remote-Zugriff nutzt – also das Gerät, über das Mitarbeitende im Homeoffice oder Partnerfirmen auf gemeinsame Systeme zugreifen –, gibt es vor Montagmorgen noch etwas zu erledigen.

Was ist passiert

Am 12. November 2026 hat die Cloud Software Group Sicherheits-Bulletins veröffentlicht, die 28 speicherbezogene Schwachstellen in Citrix NetScaler ADC, NetScaler Gateway, NetScaler Console und dem Secure Access Client beheben, wie aus dem CERT-EU-Advisory hervorgeht. Zwölf davon gelten als kritisch.

Zwei Lücken stechen heraus:

• CVE-2026-120868 (CVSS 9.3) ist ein Memory-Overflow in der zentralen Paketverarbeitung. Er braucht weder eine spezielle Funktion noch eine Authentifizierung, um ausgelöst zu werden – und das Bulletin stellt klar: alle Installationen sind betroffen, auch mit Standardkonfiguration. Es gibt derzeit keine sichere Konfiguration dieses Geräts. Wer NetScaler betreibt, ist exponiert.
• CVE-2026-120869 (CVSS 9.4) ist eine fehlerhafte Authentifizierung in NetScaler Console, die laut The Hacker News einem nicht authentifizierten Angreifer erlaubt, den Login-Bildschirm komplett zu umgehen und auf geschützte Bereiche der Management-Konsole zuzugreifen.

Zusätzlich hat Citrix zwei Rechteausweitungs-Lücken im Secure Access Client für Windows und Linux behoben (CVE-2026-118268 und CVE-2026-118269, beide CVSS 8.5), über die ein Benutzer mit tiefen Rechten direkt auf SYSTEM-Ebene unter Windows oder Root unter Linux gelangen kann – relevant überall dort, wo Mitarbeitende den VPN-Client auf ihrem Laptop nutzen.

Warum das für Schweizer KMU wichtig ist

NetScaler ADC und Gateway gehören zu den am weitesten verbreiteten VPN- und Remote-Access-Geräten bei kleinen und mittleren Unternehmen in der Schweiz – oft ist es genau das eine Gerät, das zwischen Internet und internem Netzwerk, Homeoffice-Mitarbeitenden und externen Partnern steht. Citrix meldet bislang keine aktive Ausnutzung, und es ist auch kein öffentlicher Proof-of-Concept bestätigt. Genau dieses Zeitfenster ist aber entscheidend: Erfahrungsgemäss bauen Ransomware-Gruppen innert Tagen nach Veröffentlichung eines Patches einen funktionierenden Exploit daraus. CERT-EU empfiehlt ausdrücklich, internetseitig erreichbare Gateway- und AAA-Appliances zuerst zu aktualisieren.

Was Sie heute tun sollten

1. Erfassen Sie alle NetScaler ADC-, Gateway- und Console-Instanzen – auch solche, die ein externer IT-Dienstleister für Sie betreibt. Fragen Sie dort gezielt nach, falls Sie selbst keinen Überblick haben.
2. Priorisieren Sie internetseitig erreichbare Gateway- und AAA-Virtualserver gemäss Empfehlung von CERT-EU, danach interne Appliances.
3. Spielen Sie die offiziellen Citrix-Builds aus dem Bulletin ein – warten Sie nicht auf das reguläre Wartungsfenster, sondern behandeln Sie dies als Notfall-Change.
4. Aktualisieren Sie den Secure Access Client auf jedem Laptop und Arbeitsplatz, der ihn nutzt – nicht nur serverseitig.
5. Prüfen Sie Logs auf ungewöhnliche Authentifizierungsaktivität bei NetScaler Console und Gateway, zurück bis Anfang November, auch wenn bislang keine Ausnutzung bestätigt ist.
6. Stellen Sie bei Partnern oder Zweigstellen, die über Ihr Gateway zugreifen, sicher, dass auch deren Seite gepatcht ist – eine gemeinsam genutzte Appliance ist nur so sicher wie der schwächste Zugang.

Das grössere Bild

Das ist die jüngste in einer Reihe kritischer Schwachstellen ohne Login-Erfordernis, die genau jene Geräte treffen, auf die Unternehmen für Remote-Zugriff, Dateitransfer und VPN angewiesen sind – allein in den letzten Wochen SonicWall, Barracuda und jetzt Citrix. Das Muster ist immer dasselbe: Ein Hersteller patcht still, Angreifer reverse-engineeren den Fix innert Tagen, und wer nicht aktualisiert hat, wird zum leichten Ziel. Das gehört mittlerweile zum Alltag jedes Unternehmens, nicht zu den Ausnahmefällen.

Wir beobachten dieses Themenfeld laufend und berichten über jene Schwachstellen, die wirklich noch in derselben Woche Handeln verlangen. Wenn das Management von Patch-Zyklen über VPN-Geräte, Server und Mitarbeitergeräte hinweg Zeit frisst, die Sie nicht haben: Flitz.ai (über The Mejlerö Company) unterstützt Schweizer KMU mit laufendem IT-Support, Sicherheitsgrundlagen wie Zwei-Faktor-Authentifizierung und sinnvoller Automatisierung im IT-Alltag – inklusive kostenloser Netzwerk-Analyse, wenn Sie Ihre aktuelle Konfiguration unabhängig prüfen lassen möchten.