Citrix behebt kritische Schwachstelle im NetScaler, die die Authentifizierung von Unternehmens-VPNs unterbricht

Eine neue kritische Lücke im Unternehmensgateway

Cloud Software Group veröffentlichte am 19. August das Bulletin zu CVE-2026-19490, einer Authentifizierungs-Bypass-Schwachstelle mit einer CVSS-Bewertung von 9.3, die NetScaler ADC und NetScaler Gateway betrifft. Die Schwachstelle ermöglicht es einem unbefugten Angreifer, die Authentifizierung auf Geräten zu umgehen, die als SSL VPN-Gateway, ICA-Proxy, CVPN, RDP-Proxy oder als AAA-virtueller Server konfiguriert sind – genau die Art von Konfiguration, die von Banken, Krankenhäusern und Unternehmensbüros genutzt wird, um Fernzugriff für Mitarbeiter und Dienstleister bereitzustellen. Die Empfehlung lautet, auf 14.1-73.32 oder 13.1-63.21 zu aktualisieren, einschließlich der Builds FIPS und NDcPP.

Die Angriffsfläche variiert je nach Version. Bei den neuesten Builds (14.1-43.56 und höher und 13.1-61.28 und höher) tritt die Schwachstelle nur auf, wenn das Gerät mit einer SAML-Aktion konfiguriert ist, eine Einschränkung, die den Umfang in modernen föderierten Login-Umgebungen reduziert. In früheren Builds reicht jede Gateway- oder vserver AAA-Konfiguration aus, um die Box zu exponieren. Rapid7 berichtete, dass bis zur Veröffentlichung des Hinweises kein Vorfall im Feld registriert wurde, einstufte den Patch jedoch als Notfall: Die Geschichte von CitrixBleed (CVE-2023-4966) und CVE-2026-8451 zeigt eine Bewaffnung innerhalb von weniger als 24 Stunden nach der Veröffentlichung.

Ein zweiter Fehler betrifft große NAT-Umsetzungen

Das gleiche Bulletin enthält CVE-2026-19489, CVSS 8.8, einen Speicherüberlauf, der ausgelöst wird, wenn das SIP ALG innerhalb einer Large Scale NAT-Gruppe aktiviert ist. Telekommunikationsanbieter und Managed Service Provider sind das typische Ziel dieser Konfiguration, und der Angriffsvektor ist das Netzwerk: Ein fehlerhaftes SIP-Paket reicht aus, um die Integrität des NetScaler-Prozesses zu gefährden. Es gibt keinen veröffentlichten vorübergehenden Abhilfemaßnahmen, nur das Upgrade auf die bereits im Hauptwarnhinweis angegebenen Builds.

Warum die Woche das Muster vom August des letzten Jahres wiederholt

Im Juli gab die Cloud Software Group einen Hotfix für CVE-2026-8451 heraus, das als CitrixBleed 2 bekannt ist, das innerhalb von weniger als 24 Stunden nach der Offenlegung bewaffnet wurde. In diesem Zyklus war das dominierende Ziel der europäische Bankensektor, mit Berichten über ungültige Sitzungen, die exfiltriert und für laterale Bewegungen in Windows-Umgebungen wiederverwendet wurden. Die Reaktion der EDR-Anbieter war verspätet, da der Vektor nur wenige Artefakte am Endpunkt hinterlässt. CVE-2026-19490 hat eine ähnliche Eigenschaft: Der Kompromiss findet im Gateway und nicht auf dem Endgerät statt, was die Erkennung in das Netzwerkteam anstelle des Endpunktteams verlagert. Für Rapid7 ist Citrix ein hochinteressantes Ziel, das tendenziell schnelle Ausbeutung nach der Offenlegung sieht.

Wo das Problem in der Betriebswoche der CIOs auftritt

Das britische NCSC hat die Warnung am selben Tag in die Liste der Warnungen für kritische Infrastrukturen aufgenommen, und der NHS England hat das Bulletin CC-4834 an seine Trusts ausgesandt, die NetScaler zur Bereitstellung klinischer Anwendungen nutzen. In den Vereinigten Staaten ist die installierte Basis des Produkts im Finanzsektor und Einzelhandel weit verbreitet, und Incident Response-Teams haben die Route bereits mit der von CitrixBleed im Jahr 2023 verglichen, als LockBit verletzliche Umgebungen in nur wenigen Tagen durchsuchte.

Indien und die Philippinen konzentrieren Managed Service Provider, die NetScaler für Dutzende von Endkunden betreiben. Ein einmaliger Bypass, der in einem Multi-Tenant-Vertrag repliziert wird, verwandelt den Vorfall in einen Kettenangriffsvektor, das gleiche Muster wie die CitrixBleed 2-Kampagne, die im Juli von MDR-Betreibern gemeldet wurde. In Brasilien ist das Produkt gängig bei mittelgroßen Banken und im Gesundheitswesen, wo es verwendet wird, um EMR und Managementsysteme für externe Ärzte bereitzustellen, was die Kosten für jedes verlängerte Patchfenster amplifiziert.

Eine schnelle Überprüfung der Umgebung muss vor dem Wochenende drei Fragen beantworten: Welche Gateways exponieren die SAML-Aktion in der verletzlichen Version, welche LSN-Gruppen haben SIP ALG aktiviert, und welche dieser Geräte akzeptieren direkten Internetverkehr ohne IP-Filterung an der Front. Umgebungen mit Zero Trust Network Access in Produktion reduzieren, aber eliminieren nicht, den Vektor. Das Überwachen der Authentifizierungsprotokolle auf Sitzungen, die als authentifiziert gekennzeichnet sind, jedoch ohne gültigen SAML-Callback, ist eine der wenigen forensischen Beweise von Wert, da die Schwachstelle, einmal ausgenutzt, die Sitzung ununterscheidbar von einem legitimen Login hinterlässt.