Citrix NetScaler: Ausnutzungsversuche gegen die kritische Schwachstelle CVE-2026-19490

Angreifer nehmen CVE-2026-19490 ins Visier, eine Authentifizierungsschwachstelle in Citrix NetScaler ADC und NetScaler Gateway. Erste technische Hinweise beschreiben speziell erzeugte Anfragen, die sich am Muster eines öffentlich verfügbaren Proof of Concept orientieren. Erfolgreiche Kompromittierungen sind bislang jedoch nicht nachgewiesen.

Am 3. September 2026 registrierte ein NetScaler-Sensor des Threat-Intelligence-Unternehmens Previdian Datenverkehr, der mit dem PoC übereinstimmte. Die Anfragen stammten von drei unterschiedlichen IP-Adressen, die geografisch Australien, den USA und Deutschland zugeordnet wurden. Auch das Centre for Cybersecurity Belgium meldete Ausnutzungsversuche und forderte Administratoren auf, die Aktualisierung ihrer Systeme zu beschleunigen.

Diese Unterscheidung ist wesentlich: Es wurde feindselige Aktivität beobachtet, aber es ist nicht bekannt, ob es den Angreifern gelang, die Authentifizierung auf realen Systemen zu umgehen.

Authentifizierungs-Bypass bei exponierten Diensten

CVE-2026-19490 ermöglicht es einem nicht authentifizierten oder zumindest nicht privilegierten entfernten Angreifer, eine Umgehung der Zugriffskontrollen zu versuchen. Die tatsächliche Gefährdung hängt sowohl von der installierten Version als auch von der Konfiguration der Appliance ab.

Betroffen sind NetScaler-Systeme, die als folgende Komponenten konfiguriert sind:

• AAA Virtual Server;
• SSL-VPN-Gateway;
• ICA Proxy;
• CVPN;
• RDP Proxy.

Die Auswirkungen können außerdem durch eine Konfiguration mit SAML Action beeinflusst werden. Es liegen jedoch nicht genügend technische Details vor, um die vollständige Angriffskette zu beschreiben oder festzustellen, welche Konfigurationsvarianten besonders leicht angreifbar sind.

NVD klassifiziert den Fehler als CWE-288 – Authentication Bypass Using an Alternate Path or Channel. Praktisch bedeutet dies, dass die Software möglicherweise einen alternativen Pfad oder Kanal zulässt, über den sich der normale Authentifizierungsprozess umgehen lässt.

Bei einer Perimeter-Appliance sind die potenziellen Folgen erheblich. NetScaler kann VPN-Sitzungen, Remotezugriffe und den Datenverkehr zu internen Anwendungen steuern. Ein erfolgreicher Bypass könnte daher einen privilegierten Einstiegspunkt in das Unternehmensnetzwerk schaffen.

Bislang sind jedoch folgende Auswirkungen nicht bestätigt:

• Codeausführung;
• Installation von Malware;
• Persistenz auf den Appliances;
• Datenexfiltration;
• Ransomware-Angriffe;
• Anzahl der kompromittierten Systeme.

Eine Zuordnung zu einer bestimmten kriminellen Gruppe wurde ebenfalls nicht veröffentlicht.

Verwundbare Versionen von NetScaler ADC und Gateway

Citrix veröffentlichte den Advisory zu CVE-2026-19490 am 19. August 2026. Zu diesem Zeitpunkt enthielt die Warnung noch keinen Hinweis auf eine aktive Ausnutzung. Die Lage änderte sich, nachdem online ein Proof of Concept veröffentlicht worden war, den Previdian als glaubwürdig einstufte.

Nach den von NVD übernommenen Herstellerangaben sind folgende Versionen verwundbar:

Produkt	Betroffene Versionen
NetScaler ADC	14.1 bis einschließlich 73.32; 13.1 bis einschließlich 63.21
NetScaler Gateway	14.1 bis einschließlich 73.32; 13.1 bis einschließlich 63.21

Das Vorhandensein einer betroffenen Version allein belegt noch keine tatsächliche Gefährdung. Zusätzlich muss geprüft werden, ob die Appliance eine der verwundbaren Funktionen bereitstellt, etwa einen AAA Virtual Server, SSL-VPN oder einen der genannten Proxy-Dienste.

Der NVD-Eintrag wurde am 19. August 2026 veröffentlicht und am 1. September 2026 geändert. NVD hat bislang keine eigene CVSS-Bewertung vergeben: Der Basiswert lautet N/A, und es ist kein Bewertungsvektor für die NVD-Einstufung verfügbar. In den Meldungen zur feindseligen Aktivität wird die Schwachstelle dennoch als kritisch beschrieben.

CVE-2026-19490 wird nach den verfügbaren Informationen nicht im Katalog der CISA Known Exploited Vulnerabilities geführt. Das Fehlen eines KEV-Eintrags entkräftet jedoch weder die Beobachtungen von Previdian noch die Meldung der belgischen Behörde: Diese Nachweise dokumentieren Versuche, nicht zwingend erfolgreich abgeschlossene Angriffe.

Was die Sensoren zeigen und was weiterhin unbekannt ist

Nach Angaben von Ryan Dewhurst, Gründer und Forscher bei Previdian, ahmten die am 3. September beobachteten Anfragen das Verhalten des öffentlichen Proof of Concept nach. Die Quellen verteilten sich auf drei Länder.

Die vollständigen IP-Adressen wurden nicht veröffentlicht. Administratoren können die reinen geografischen Angaben daher nicht in verlässliche Blockier- oder Suchindikatoren für ihre Logs umwandeln. Auch die Geolokalisierung identifiziert nicht zwangsläufig den tatsächlichen Standort der Angreifer: Die Anfragen könnten von gemieteten Servern, Proxys oder bereits kompromittierten Systemen stammen.

Das Centre for Cybersecurity Belgium bestätigte die gezielte Aktivität unabhängig, veröffentlichte jedoch keine zusätzlichen Informationen zu Opfern, Infrastruktur oder den Identitäten der Betreiber.

Shadowserver überwacht mehr als 22.000 NetScaler-ADC-Appliances und knapp 1.700 NetScaler-Gateway-Instanzen, die online erreichbar sind. Diese Zahlen erfassen die beobachtbare Angriffsfläche, nicht die Gesamtzahl der verwundbaren Geräte. Unbekannt ist, wie viele Systeme Honeypots sind, wie viele bereits aktualisiert wurden oder wie viele die für eine Ausnutzung erforderlichen Konfigurationen verwenden.

Die Zahl potenzieller Opfer lässt sich daher nicht allein aus den im Internet beobachteten Geräten ableiten.

Aktualisierungen und sofort durchzuführende Prüfungen

Administratoren sollten sämtliche NetScaler-Appliances inventarisieren, nicht nur die direkt aus dem Internet erreichbaren Systeme. Vorrang sollten jedoch öffentlich erreichbare Gateways sowie Systeme haben, die für VPN, Remotezugriffe oder zentrale Authentifizierung eingesetzt werden.

Empfohlene Maßnahmen:

1. Version, Build und operative Rolle jeder Appliance überprüfen;
2. Systeme mit betroffenen ADC- und-Gateway-Versionen identifizieren;
3. den Citrix-Sicherheitsbulletin zu CVE-2026-19490 konsultieren;
4. die vom Hersteller angegebenen korrigierten Builds installieren;
5. Logs zu Anfragen an AAA-, VPN- und Proxy-Dienste untersuchen;
6. ungewöhnliche Authentifizierungen, verdächtige Sitzungen und Zugriffe von bislang unbekannten externen Quellen suchen;
7. Konfigurationen mit SAML Action besonders sorgfältig prüfen.

Die genauen korrigierten Build-Nummern für CVE-2026-19490 wurden in den veröffentlichten Informationen nicht genannt. Es wäre daher nicht sinnvoll, eine Zielversion aus dem Vergleich mit anderen Schwachstellen abzuleiten. Maßgeblich ist der Citrix-Advisory zu dieser Schwachstelle.

Da weder die von Previdian beobachteten IP-Adressen noch andere spezifische Indikatoren verfügbar sind, darf sich die Prüfung nicht auf eine Blockierliste beschränken. Erforderlich ist eine verhaltensbasierte Analyse der Logs, die sich auf PoC-ähnliche Anfragen, unerwartet erfolgreiche Zugriffe und neue Sitzungen aus bislang unbekannten Netzwerken konzentriert.

Der Präzedenzfall CVE-2026-3055 und weitere ausgenutzte Citrix-Schwachstellen

CVE-2026-19490 folgt auf weitere aktiv ausgenutzte NetScaler-Schwachstellen. Dazu gehört CVE-2026-3055, ein davon unabhängiges Problem, das ADC- und-Gateway-Systeme betrifft, die als SAML Identity Provider konfiguriert sind.

In diesem Fall führt eine unzureichende Eingabevalidierung zu einem Lesen außerhalb der zulässigen Speichergrenzen. Der Fehler wird als CWE-125 – Out-of-bounds Read klassifiziert. Die verfügbare CVSS-v3.1-Bewertung beträgt 9.8, mit folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2026-3055 befindet sich seit dem 30. März 2026 im CISA-KEV-Katalog. Für US-Bundesbehörden galt der 2. April 2026 als Frist für die Behebung. CISA verlangte die Umsetzung der Herstellermaßnahmen, die Befolgung der entsprechenden BOD-22-01-Vorgaben für Cloud-Dienste oder die Einstellung der Nutzung des Produkts, falls keine Gegenmaßnahmen verfügbar waren.

Zu den für CVE-2026-3055 genannten Versionen gehören mehrere 13.1- und 14.1-Zweige, einschließlich der FIPS- und NDcPP-Varianten. Die NVD-Dokumentation enthält für den 14.1-Zweig jedoch widersprüchliche Angaben: Für einige Konfigurationen werden Versionen vor 14.1-60.58 genannt, während der Abschnitt zu den betroffenen Produkten Versionen vor 14.1-66.59 aufführt. Auch in diesem Fall sollte der NetScaler-Sicherheitsbulletin maßgeblich sein; außerdem muss die genau installierte Variante überprüft werden.

In den vergangenen 90 Tagen wurde außerdem CVE-2026-8452, die Citrix zugeordnet ist, in den KEV-Katalog aufgenommen. Der Eintrag erfolgte am 26. August 2026. Insgesamt hat CISA seit November 2021 23 Citrix-Schwachstellen als in the wild ausgenutzt eingestuft; sechs davon wurden auch von Ransomware-Gruppen eingesetzt.

Dieser Präzedenzfall belegt keine Beteiligung von Ransomware an der aktuellen Aktivität gegen CVE-2026-19490. Er zeigt jedoch, dass exponierte Citrix-Appliances regelmäßig angegriffen werden und zwischen der technischen Veröffentlichung einer Schwachstelle und realen Ausnutzungsversuchen nur wenig Zeit vergehen kann. Bei weiterhin verwundbaren Systemen sollte die Aktualisierung nicht bis zur Bestätigung einer Kompromittierung aufgeschoben werden.