Kritische Citrix-Lücke: Was jetzt konkret zu tun ist

Was macht CVE-2026-19490 zu einer kritischen Schwachstelle?

CVE-2026-19490 ist eine Authentifizierungsumgehung mit einem CVSS-v4.0-Basiswert von 9.3, die ein nicht authentifizierter Angreifer aus der Ferne ausnutzen kann, ohne Nutzerinteraktion oder erhöhte Rechte zu benötigen, so Rapid7.

Betroffen sind laut Help Net Security NetScaler-Appliances, die als Gateway für SSL-VPN, ICA-Proxy, CVPN oder RDP-Proxy konfiguriert sind, sowie Instanzen mit AAA-Virtual-Server. Wer eine dieser Funktionen aktiv nutzt, muss die Schwachstelle als unmittelbar relevant einstufen. Die Möglichkeit eines Angriffs ganz ohne Authentifizierung macht diese Lücke schwerwiegender als die meisten anderen NetScaler-Schwachstellen der vergangenen Jahre.

Ob eine konkrete Instanz tatsächlich angreifbar ist, hängt laut Help Net Security zusätzlich von der installierten Firmware-Version und davon ab, ob eine SAML-Aktion konfiguriert ist. Auf älteren Firmware-Builds reicht bereits eine reine Gateway- oder AAA-Konfiguration ohne SAML aus, damit die Lücke ausnutzbar wird. IT-Verantwortliche können sich daher nicht allein auf das Fehlen einer SAML-Konfiguration verlassen.

Welche NetScaler-Versionen sind betroffen und welche Updates schliessen die Lücke?

Betroffen sind laut Citrix Support die unterstützten Versionen NetScaler ADC und NetScaler Gateway 14.1 vor Build 14.1-73.32 sowie 13.1 vor Build 13.1-63.21, einschliesslich bestimmter FIPS- und NDcPP-Varianten.

Citrix empfiehlt gemäss dem Bulletin CTX696939 ein Update auf Version 14.1-73.32 oder neuer beziehungsweise 13.1-63.21 oder neuer. Für FIPS-Umgebungen gelten die Builds 14.1-73.32 FIPS sowie 13.1-37.277 für 13.1-FIPS und 13.1-NDcPP. Kundenverwaltete SecurAccess ZTNA Hybrid Deployments, vormals Secure Private Access Hybrid, sind laut Help Net Security ebenfalls betroffen und müssen separat aktualisiert werden.

Cloud-verwaltete Citrix-Dienste und die Citrix-verwaltete Adaptive Authentication sind von diesem Bulletin nicht betroffen, da Cloud Software Group diese laut eigener Angabe bereits selbst aktualisiert hat. Für Schweizer KMU mit selbst betriebenen NetScaler-Instanzen bedeutet das: Die Verantwortung für das Update liegt vollständig bei der eigenen IT-Abteilung oder dem beauftragten IT-Partner.

Wie lässt sich prüfen, ob die eigene NetScaler-Konfiguration betroffen ist?

Citrix Support empfiehlt, die eigene Konfigurationsdatei nach den Zeichenfolgen add authentication samlAction, add authentication vserver oder add vpn vserver zu durchsuchen, um eine Betroffenheit durch CVE-2026-19490 festzustellen.

Für die zweite Schwachstelle, CVE-2026-19489, reicht laut Citrix Support eine Suche nach add lsn group gefolgt von sipalg. Diese Lücke ist ein Speicherüberlauf mit einem CVSS-v4.0-Wert von 8.8, der laut The Hacker News zu einem Denial-of-Service führen kann, sofern SIP ALG innerhalb einer Large-Scale-NAT-Gruppenkonfiguration aktiviert ist. Beide Prüfungen lassen sich in wenigen Minuten in der laufenden Konfiguration durchführen.

Findet sich eine der genannten Zeichenfolgen, gilt die Instanz als potenziell betroffen und benötigt entweder das Update oder eine der von Citrix beschriebenen Übergangsmassnahmen. Diese Prüfung sollte auf jeder NetScaler-Instanz einzeln erfolgen, auch wenn mehrere Appliances im selben Cluster identisch konfiguriert wurden.

Welche Sofortmassnahmen helfen, wenn das Update nicht sofort eingespielt werden kann?

Citrix zufolge lässt sich CVE-2026-19490 über die NetScaler Console mittels der standardmässig aktivierten Global-Deny-Lists-Funktion mit Signaturen entschärfen, sofern die Firmware höher als 14.1-60.52 beziehungsweise 13.1-63.16 ist.

Diese Massnahme ersetzt das eigentliche Update nicht, kann aber die Zeit bis zum geplanten Patch-Fenster überbrücken. Rapid7 hatte per 19. August 2026 keine Hinweise auf eine aktive Ausnutzung von CVE-2026-19490 beobachtet, riet aber dennoch zu einem Patching auf Notfallbasis. Als Präzedenzfall verweist IT-Boltwise darauf, dass die zuvor gepatchte NetScaler-Schwachstelle CVE-2026-8451 mit einem CVSS-Wert von 8.8 innerhalb von weniger als 24 Stunden nach ihrer Bekanntgabe angegriffen wurde.

Wie gross die Angriffsfläche tatsächlich ist, zeigt eine Auswertung der Shadowserver Foundation, laut der weltweit mehr als 22'000 NetScaler-ADC-Instanzen und knapp 1'800 NetScaler-Gateway-Instanzen öffentlich erreichbar sind. Schweizer Unternehmen aus Branchen mit hohem Digitalisierungsgrad, etwa die in der Branchenanalyse zu Manufacturing und Technology beschriebenen Sektoren, sollten das Zeitfenster bis zur ersten dokumentierten Ausnutzung nicht abwarten.

Warum sollten Schweizer KMU das Patchen nicht aufschieben?

Citrix-Produkte gehören laut IT-Daily zu den wiederkehrend aktiv ausgenutzten Software-Kategorien, mit 22 von der US-Behörde CISA in den vergangenen fünf Jahren als aktiv ausgenutzt eingestuften Citrix-Schwachstellen, sechs davon zusätzlich im Zusammenhang mit Ransomware-Angriffen.

Diese Häufung zeigt, dass NetScaler-Appliances als Einfallstor für Angreifer eine wiederkehrende Rolle spielen, unabhängig von der jeweiligen Schwachstelle. Für IT-Verantwortliche in Schweizer KMU bedeutet das, das Update nicht dem üblichen Wartungsfenster zu überlassen, sondern als eigenständige Priorität zu behandeln. Die verantwortungsvolle Meldung der beiden aktuellen Schwachstellen erfolgte laut Citrix Support durch Samarth Vashisht vom Pen-Test-Team von JPMorgan Chase, was zeigt, wie systematisch grosse Organisationen ihre Citrix-Umgebungen prüfen lassen.

Wer die Einordnung der Meldepflicht für kritische Infrastruktur oder vergleichbare Vorfallzahlen des Bundesamts für Cybersicherheit nachvollziehen möchte, findet Hintergründe in der Übersicht zu Meldepflicht und Meldestatistik. Für die meisten NetScaler-Betreiber ausserhalb kritischer Infrastruktur bleibt die Meldung freiwillig, das Patchen jedoch nicht.

Der erste konkrete Schritt für IT-Verantwortliche ist die Suche nach den genannten Konfigurationszeichenfolgen auf allen NetScaler-Instanzen noch in dieser Woche, gefolgt von der Einspielung der empfohlenen Firmware-Version oder der Aktivierung der Global-Deny-Lists als Übergangslösung. Wer die eigene Cloud- und Netzwerksicherheit grundsätzlich überprüfen möchte, findet Orientierung in der Einordnung zu Sicherheit in der Cloud.