|
04.10.2026 12:58 Uhr |
Seit den Abendstunden des 2. Oktober 2026 kursiert offenbar ein Exploit für eine neue Sicherheitslücke auf Citrix-Netscaler-Geräten. Der Hersteller warnt in einem Sicherheitshinweis, betroffen sind diesmal Geräte mit aktivierten SAML-Funktionen. Patches sind seit Sonntag verfügbar.
Dem britischen Sicherheitsexperten Kevin Beaumont zufolge könnte es sich um eine Umgehung der Fehlerbehebung der letzte Woche bekannt gewordenen Lücke „Pitscaler“ (CVE-2026-88771 / CVE-2026-88772) handeln. Er schreibt: „Also auf einem meiner Honeypots läuft eine heruntergeladene (Malware-) Binärdatei. Beide [Honeypots, Anm. d.Red.] waren gepatcht, also neue Schwachstelle.“ Sie ist offenbar auf der kürzlich erschienenen neuesten Version des Netscaler-Betriebssystems ausnutzbar – ein Zero-Day.
Andere Fachleute sekundieren: „Das Team von watchTowr Labs hat die Schwachstelle nun erfolgreich reproduziert.“ Damit ist nur eine Woche nach der letzten fatalen Lücke wieder ein Exploit für Netscaler-Systeme im Umlauf, der zur Einschleusung von Malware und dem Angriff auf Firmennetze taugt. Der Exploit lässt sich wohl über den massenhaften Versand von SAML-Anfragen an ein verwundbares Gerät ausführen. Reddit-Nutzer diskutieren die Lücke und ihre Ausnutzung in einem umfangreichen Diskussionsfaden.
Der Hersteller äußerte sich ebenfalls überraschend zügig in seinem Blog. Jedoch nennt er weder wirksame Gegenmaßnahmen noch stellt er eine Lösung mittels Patch bereit. Betroffene mögen den Kundendienst kontaktieren. Seit den Abendstunden des 4. Oktober warnt auch die US-Cybersicherheitsbehörde CISA in ihren „known exploited vulnerabilities“ vor der Sicherheitslücke.
Am frühen Morgen des 4. Oktober folgte dann der offizielle Sicherheitshinweis für die Lücke mit der CVE-ID CVE-2026-88779 (CVSS4 8.7/10, Kritikalität hoch). Er enthält einige Details – so handelt es sich bei der Sicherheitslücke um einen Pufferüberlauf bei Netscaler-Instanzen, die als SAML SP (Service Provider) oder IdP (Identity Provider) konfiguriert sind. Die Konfiguration enthält dann eine der beiden Direktiven add authentication samlAction bzw. add authentication samlIdPProfile.
Administratoren sollten so schnell wie möglich aktualisieren und zwar auf folgende Versionen:
Erst vor wenigen Tagen versüßte ein Zero-Day-Angriff auf Citrix-Appliances Admins und Sicherheitsforschern weltweit das Wochenende, davor im August.
Updates sind seit Sonntagnacht verfügbar und sollten schnellstmöglich eingespielt werden. Wir haben die Meldung entsprechend aktualisiert und umformuliert.
CISA-Warnung vor Lücke ergänzt.
(cku)