Der Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) der CISA führt nach den im September gemeldeten Zero-Day-Angriffen eine weitere Citrix-NetScaler-Schwachstelle. Die Behörde hat CVE-2026-88779 am 4. Oktober aufgenommen. Beschrieben wird ein Speicherpufferfehler in NetScaler ADC und NetScaler Gateway, der einen Denial-of-Service-Zustand auslösen kann.
Der Eintrag folgt auf CVE-2026-88771, die die CISA am 27. September aufgenommen hat. Die Behörde beschreibt diese Schwachstelle als unzureichende Eingabevalidierung, durch die ein nicht authentifizierter Angreifer beliebige Befehle ausführen könnte. Beide Einträge erscheinen in der Katalogversion vom 26. Oktober. Daraus geht hervor, dass die CISA beide als ausgenutzte Schwachstellen einstuft, zugleich aber ihre möglichen Auswirkungen unterscheidet.
Laut der Darstellung von SecurityWeek haben unbekannte Angreifer etwa Mitte September begonnen, bis dahin nicht offengelegte NetScaler-Schwachstellen auszunutzen. Bedrohungsanalysten der niederländischen Regierung und private Incident-Response-Teams entdeckten verdächtigen Datenverkehr. Wiederverkäufer und Sicherheitshinweise forderten Administratoren am Wochenende des 26. September auf, internetseitig erreichbare Installationen einzuschränken oder vom Netz zu trennen. SecurityWeek berichtet, dass Citrix an jenem Sonntag Patches für Schwachstellen veröffentlichte, die unter CVE-2026-88771 bis CVE-2026-88778 geführt werden.
NetScaler vereint Funktionen wie Reverse-Proxying, Lastverteilung, Schutz durch eine Web Application Firewall und SSL-VPN-Zugang. Da das Produkt am Netzwerkrand sitzt, ist die Unterscheidung zwischen Befehlsausführung und Dienstunterbrechung von großer Bedeutung. Die beiden Katalogeinträge beschreiben unterschiedliche Fähigkeiten und sollten nicht als austauschbar behandelt werden.
Für CVE-2026-88771 verlangt die CISA ausdrücklich eine forensische Triage gemäß ihrer Vorgabe BOD 26-04, zusätzlich zu den vom Hersteller vorgegebenen Gegenmaßnahmen. Laut den Hinweisen könnte das Ausführen der bereitgestellten Indikatoren für Kompromittierung in der NetScaler-Konsole helfen, eine Ausnutzung zu erkennen. Im Eintrag zu CVE-2026-88779 ist die forensische Triage mit „No“ markiert. Auch dort wird empfohlen, die Gegenmaßnahmen des Herstellers anzuwenden. Die genannten Fristen zur Behebung waren der 30. September beziehungsweise der 7. Oktober.
SecurityWeek vermutete, dass nicht veröffentlichte, fortlaufende CVE-Kennungen auf weitere Hinweise hindeuten könnten. Der datierte Eintrag der CISA belegt, dass CVE-2026-88779 anschließend als ausgenutzt gelistet wurde. Über den Status der übrigen Kennungen sagt er jedoch nichts aus. Der Katalog führt die Verwendung in Ransomware-Kampagnen für beide genannten Schwachstellen als unbekannt.
