NetScaler: Kritischer Authentifizierungs-Bypass – Citrix fordert sofortige Patches

Die Sicherheitslücke ermöglicht die Umgehung der Authentifizierung

Citrix hat Updates für zwei Schwachstellen in NetScaler ADC und NetScaler Gateway veröffentlicht. Die schwerwiegendste ist CVE-2026-19490, eine als kritisch eingestufte Schwachstelle zur Umgehung der Authentifizierung mit einem CVSS-Score von 9,3.

Das Problem ermöglicht es Angreifern, Authentifizierungskontrollen über einen alternativen Pfad zu umgehen. Laut der Einschätzung von Rapid7 kann der Angriff aus der Ferne, ohne Zugangsdaten und ohne Interaktion des Benutzers durchgeführt werden.

Betroffen sind NetScaler-Appliances, die folgende Funktionen bereitstellen:

• SSL VPN;
• ICA Proxy;
• CVPN;
• RDP Proxy;
• AAA Virtual Servers.

Das Risiko ergibt sich vor allem aus der Rolle dieser Geräte. NetScaler ADC und NetScaler Gateway befinden sich häufig am Netzwerkperimeter oder in DMZs und verfügen über aus dem Internet erreichbare Schnittstellen. Ein Authentifizierungs-Bypass auf dieser Angriffsfläche kann Dienste und Ressourcen offenlegen, die normalerweise durch eine Authentifizierung geschützt sind.

Welche Produkte und Versionen sind betroffen?

Laut Citrix-Sicherheitswarnung sind folgende Versionen von NetScaler ADC und NetScaler Gateway betroffen:

• 14.1-43.56 oder höher;
• 14.1-66.68-FIPS oder höher;
• 14.1-43.55 oder älter;
• 13.1-61.28 oder höher;
• 13.1-61.27 oder älter;
• 13.1 FIPS.

Die Builds mit der Korrektur für CVE-2026-19490 sind:

• 14.1-73.32;
• 13.1-63.21;
• 14.1-73.32 FIPS;
• 13.1-FIPS;
• 13.1-NDcPP 13.1-37.277.

Administratoren müssen sowohl das installierte Release als auch den verwendeten Support-Zweig genau prüfen. Bei FIPS- oder NDcPP-Versionen ist besondere Aufmerksamkeit erforderlich, da die passenden Updates nicht immer denen der Standardinstallationen entsprechen.

Es reicht nicht aus, nur die Hauptversion zu kontrollieren. Die vollständige Build-Nummer der Appliance muss geprüft und bestätigt werden, dass das Update auf die jeweilige Konfiguration anwendbar ist.

Auch SIP ALG kann einen Denial-of-Service verursachen

Dieselben Builds beheben CVE-2026-19489, eine hochgradige Schwachstelle im Zusammenhang mit einem Memory Overflow. Der Fehler kann zu unerwartetem Verhalten oder einem Denial-of-Service führen, wenn SIP ALG in der Konfiguration einer LSN-Gruppe aktiviert ist.

Für diese Schwachstelle wurde kein CVSS-Score angegeben.

Die technische Voraussetzung im Zusammenhang mit SIP ALG schränkt das Szenario im Vergleich zum Authentifizierungs-Bypass ein, beseitigt das betriebliche Risiko jedoch nicht. Ein Absturz oder Fehlverhalten der Appliance kann veröffentlichte Dienste, Remotezugriffe und von NetScaler abhängige Anwendungsabläufe unterbrechen.

Ebenfalls betroffen sind Secure Private Access Hybrid-Umgebungen, die NetScaler-Instanzen verwenden. Citrix fordert, auch diese Systeme auf die empfohlenen Builds zu aktualisieren, anstatt die Prüfung auf direkt aus dem Internet erreichbare Appliances zu beschränken.

Warum das Risiko auch ohne beobachtete Exploits hoch ist

Rapid7 hat keine Hinweise auf eine aktive Ausnutzung von CVE-2026-19490 festgestellt. Das Fehlen entsprechender Beweise verringert jedoch nicht die Dringlichkeit.

NetScaler-Appliances sind attraktive Ziele, weil sie:

• häufig öffentlich erreichbar sind;
• Funktionen für Remotezugriff und Anwendungsbereitstellung bündeln;
• zahlreiche Dienste über einen zentralen Authentifizierungspunkt schützen können;
• in großen Unternehmensnetzwerken weit verbreitet sind.

Rapid7 hält einen baldigen Ausnutzungsversuch für wahrscheinlich. Die Kombination aus Internetexponierung, strategischem Wert und der Art der Schwachstelle macht die Dauer bis zur Aktualisierung zu einem entscheidenden Faktor.

Es ist nicht bekannt, ob CVE-2026-19490 in den Known Exploited Vulnerabilities (KEV)-Katalog der CISA aufgenommen wurde oder ob die CISA eine Frist zur Behebung festgelegt hat. Ebenso ist nicht bekannt, ob Citrix weitere aktuelle, für diese Produktreihe relevante Schwachstellen im KEV-Katalog führt.

Was Administratoren prüfen müssen

Es wird empfohlen, die Patches mit höchster Dringlichkeit auf allen betroffenen Systemen einzuspielen. Dies sollte auch Instanzen umfassen, die von Secure Private Access Hybrid verwendet werden.

Vor dem Update sollten Administratoren:

1. alle NetScaler-ADC- und-Gateway-Appliances erfassen;
2. die vollständige Build-Nummer einschließlich FIPS- und NDcPP-Varianten prüfen;
3. Systeme identifizieren, die als SSL VPN, ICA Proxy, CVPN oder RDP Proxy konfiguriert sind;
4. AAA Virtual Servers überprüfen;
5. direkt oder indirekt aus dem Internet erreichbare Schnittstellen ermitteln;
6. LSN-Gruppen und eine mögliche Aktivierung von SIP ALG kontrollieren.

Nach der Installation der korrekten Builds sollte geprüft werden, ob die Remotezugriffsdienste ordnungsgemäß funktionieren und ob sich die Konfiguration während des Eingriffs verändert hat.

Das Update ersetzt keine rückwirkende Untersuchung. Sicherheitsteams sollten die Logs auf folgende Hinweise prüfen:

• erfolgreiche Zugriffe ohne zugehörige erwartete Authentifizierung;
• ungewöhnliche oder wiederholt fehlgeschlagene Authentifizierungen;
• Verbindungen von ungewöhnlichen IP-Adressen;
• unerwartete Nutzung von VPNs, Proxys oder AAA Virtual Servers;
• Neustarts, Fehler oder ungewöhnliches Verhalten der Appliance;
• Anfragen an Administrationsschnittstellen oder normalerweise nicht verwendete Dienste.

Die verfügbaren Indikatoren belegen keine laufende Ausnutzung. Daher sollten die NetScaler-Logs mit den Logs von VPNs, Firewalls, Identitätssystemen und veröffentlichten Anwendungen korreliert werden.

Priorität hat die Verringerung der Angriffsfläche – nicht das Abwarten weiterer Bestätigungen

Wer nicht sofort aktualisieren kann, sollte die Exponierung der NetScaler-Schnittstellen so weit wie möglich reduzieren und den Zugriff auf Administrationsfunktionen auf autorisierte Netzwerke beschränken. Das Briefing nennt für CVE-2026-19490 oder CVE-2026-19489 keinen spezifischen, von Citrix bereitgestellten Workaround.

Temporäre Maßnahmen sind kein Ersatz für die Installation des Patches. Eine verwundbare Appliance, die als Remote-Gateway eingesetzt wird, kann einem nicht authentifizierten Angreifer einen direkten Zugangspunkt zu geschützten Unternehmensressourcen bieten. Die geeignete Maßnahme besteht daher darin, auf den vorgesehenen Build zu aktualisieren, die Konfiguration zu überprüfen und die vor und nach der Behebung aufgezeichneten Ereignisse zu kontrollieren.