Citrix schließt kritische SAML-Lücke in NetScaler, die zur Codeausführung führen kann

Citrix hat ein Sicherheitsbulletin zu CVE-2026-107406 veröffentlicht, einer Schwachstelle in NetScaler ADC und NetScaler Gateway. Das Bulletin beschreibt sie als Speicherüberlauf, der zu Remotecodeausführung oder Denial of Service führen kann, ordnet sie CWE-119 zu, einer Klasse von Schwachstellen bei Speicherpuffern, und vergibt einen CVSS-v4.0-Basiswert von 9,5. Das Bulletin betrifft nur Appliances, die Kunden selbst betreiben; Cloud Software Group, das Unternehmen hinter Citrix, gibt an, die Updates für die von Citrix selbst verwalteten Cloud-Dienste und Adaptive Authentication einzuspielen.

Eine Appliance ist nur angreifbar, wenn sie als SAML-Service-Provider (SP) oder SAML-Identity-Provider (IdP) fungiert; welche Rolle relevant ist, hängt vom Build ab. Bei Builds älter als 14.1-73.37 und 13.1-64.23 sowie bei FIPS-Builds älter als 14.1-73.37 FIPS und 13.1-37.279 sind beide Rollen betroffen. Bei den neueren Builds 14.1-73.37 bis 14.1-73.41 (einschließlich der 14.1-FIPS-Entsprechungen), 13.1-64.23 bis 13.1-64.28 sowie den 13.1-FIPS/NDcPP-Builds 13.1-37.279 bis 13.1-37.282 ist laut Citrix nur die Rolle als Identity Provider verwundbar.

Citrix nennt folgende korrigierte Versionen: 14.1-73.46 oder neuer für den Zweig 14.1, 13.1-64.29 oder neuer innerhalb von 13.1, 14.1-73.46 FIPS oder neuer für 14.1-FIPS sowie 13.1.37.283 oder neuer für die Editionen 13.1-FIPS und 13.1-NDcPP. NetScaler-Instanzen, die Teil von Secure Private Access Hybrid-Bereitstellungen sind, sind ebenfalls betroffen und benötigen dasselbe Upgrade. Um festzustellen, ob ein Gerät eine der beiden SAML-Rollen nutzt, können Administratoren laut Citrix in der Konfiguration nach Einträgen suchen, die add authentication samlAction (Service Provider) oder add authentication samlIdPProfile (Identity Provider) entsprechen.

Zur Ausnutzung erklärte Citrix in einer von BleepingComputer zitierten Stellungnahme: „Zum Zeitpunkt der Veröffentlichung des Bulletins sind Citrix keine nicht abgewehrten Exploits dieser Schwachstelle bekannt“. The Register merkt an, dass Citrix nicht angab, ob die Lücke vor ihrer Offenlegung als Zero-Day ausgenutzt wurde. Das Bulletin dankt Forschern des XOR Team von JPMorgan Chase. BleepingComputer berichtet, dass Shadowserver mehr als 21.000 IP-Adressen mit NetScaler-Fingerabdrücken im Internet erfasst, davon fast 20.000 ADC-Appliances und etwas mehr als 1.500 Gateway-Instanzen; es ist jedoch nicht bekannt, wie viele davon Honeypots, bereits gepatcht oder verwundbar konfiguriert sind.

Der Fix folgt auf mehrere NetScaler-Lücken, die Angreifer in diesem Jahr ausgenutzt haben. Anfang dieses Monats lieferte Citrix Notfall-Updates für CVE-2026-88779, eine Denial-of-Service-Zero-Day-Lücke, die laut The Register mit 8,7 bewertet ist und die nach späteren Angaben von Forschern und Administratoren auch Codeausführung ermöglichte, wie BleepingComputer berichtet. Laut The Register betreffen sowohl diese als auch die neue Lücke Speicherüberläufe in SAML-Konfigurationen. Im September behob Citrix zwei ausgenutzte Zero-Day-Lücken, CVE-2026-88771 und CVE-2026-88772; Forscher von Google erklärten, eine Kampagne, die CVE-2026-88772 missbrauchte, laufe seit mindestens Anfang September. BleepingComputer ergänzt, dass CISA 27 Citrix-Schwachstellen seit November 2021 als aktiv ausgenutzt führt, sieben davon bei Ransomware-Angriffen.