CitrixBleed-Nachfolger: NetScaler-Lücke CVE-2026-8451 wird aktiv ausgenutzt

Eine kritische Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway wird bereits aktiv für Angriffe genutzt – weniger als 24 Stunden nach ihrer Veröffentlichung. Die Lücke CVE-2026-8451 erlaubt es Angreifern, Teile des Arbeitsspeichers auszulesen, und weckt Erinnerungen an die berüchtigte CitrixBleed-Schwachstelle. Wer NetScaler als Zugangs-Gateway einsetzt, sollte umgehend prüfen, ob er betroffen ist.

Was ist passiert?

Am 30. Juni 2026 veröffentlichte Citrix Sicherheitsupdates für mehrere NetScaler-Schwachstellen. Eine davon, CVE-2026-8451 (CVSS 8.8), betrifft Geräte, die als SAML-Identitätsanbieter (IdP) konfiguriert sind. Durch manipulierte SAML-Anfragen lässt sich ein Speicherüberlauf (out-of-bounds read) auslösen, wodurch Angreifer unautorisiert Teile des Arbeitsspeichers auslesen können. Sicherheitsforscher (unter anderem CrowdSec und Lupovis) meldeten bereits am 2. Juli 2026 erste Angriffe aus dem Netz – also nur Stunden nach der Veröffentlichung.

Die Lücke teilt sich die Ursache mit einer früheren NetScaler-Schwachstelle vom März 2026 und wird wegen dieses Musters als „CitrixBleed“-ähnlich eingestuft. Bei solchen Speicherlecks können im schlimmsten Fall sensible Daten wie Sitzungs-Token abfließen. Öffentliche Berichte haben eine Preisgabe von Zugangsdaten oder Token für genau diese Lücke bisher nicht bestätigt – angesichts der aktiven Ausnutzung ist Vorsicht aber angebracht.

Wer ist betroffen?

Betroffen sind selbstverwaltete Installationen von NetScaler ADC und NetScaler Gateway, die als SAML-Identitätsanbieter (IdP) eingerichtet sind, in diesen Versionen:

• NetScaler ADC und Gateway 14.1 vor 14.1-72.61
• NetScaler ADC und Gateway 13.1 vor 13.1-63.18
• FIPS-/NDcPP-Varianten: 14.1-FIPS vor 14.1-72.61, 13.1-FIPS/NDcPP vor 13.1-37.272

Cloud-verwaltete Citrix-Dienste werden automatisch aktualisiert. Nur SAML-IdP-Konfigurationen sind angreifbar – Geräte ohne diese Rolle sind nicht betroffen. NetScaler-Gateways dienen vielen Unternehmen als Fernzugriffs-Portal für VPN oder Single Sign-on und stehen daher oft direkt im Internet – das macht sie zu einem attraktiven Ziel.

Was jetzt zu tun ist

1. Bestandsaufnahme: Prüfen Sie, ob Sie NetScaler ADC oder Gateway einsetzen und ob diese als SAML-Identitätsanbieter (IdP) konfiguriert sind.
2. Version abgleichen: Vergleichen Sie die installierte Firmware mit der Liste oben.
3. Patchen: Aktualisieren Sie auf eine feste Version (mindestens 14.1-72.61 beziehungsweise 13.1-63.18). Priorisieren Sie über das Internet erreichbare Systeme.
4. Sitzungen beenden: Beenden Sie nach dem Patchen bestehende aktive Sitzungen. Als Vorsichtsmaßnahme verhindert das, dass eventuell zuvor abgegriffene Token weiter missbraucht werden – eine Lehre aus der ursprünglichen CitrixBleed-Welle.
5. Auf Kompromittierung prüfen: Untersuchen Sie Logs und aktive Sitzungen auf ungewöhnliche Zugriffe, besonders wenn das Gerät seit dem 30. Juni 2026 ungepatcht am Netz hing.

So hilft Binary System Services

Wir prüfen Ihre NetScaler- und Firewall-Infrastruktur auf betroffene Konfigurationen, spielen Updates kontrolliert ein und stellen sicher, dass alte Sitzungen sauber beendet werden. Über unser Monitoring erkennen wir verwundbare, aus dem Internet erreichbare Systeme, bevor Angreifer es tun. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.