CyberScoop berichtete am 29. September 2026, Angreifer hätten eine Schwachstelle in Citrix-NetScaler-Appliances mindestens drei Wochen lang ausgenutzt, bevor sie bestätigt wurde; die früheste bekannte Ausnutzung datiert vom 3. September. Mandiant ordnet die Kampagne fortgeschrittenen und mutmaßlich staatlich gestützten Akteuren zu, und Citrix veröffentlichte am Sonntag, dem 28. September, Patches für beide Schwachstellen und sechs weitere Fehler [1] [3]. Die Berichte betreffen Organisationen, aber dieselben Gateways stehen vor kleinen Büros und Menschen im Homeoffice.
Hintergrund
NetScaler ADC und NetScaler Gateway sind Appliances am Rand eines Netzwerks, die Fernzugriff und Auslieferung von Datenverkehr übernehmen und deshalb von Natur aus aus dem Internet erreichbar sind. CyberScoop weist darauf hin, dass Edge-Geräte im vergangenen Jahr 48 Prozent der Angriffe dieser Art auf Unternehmen ausmachten und in der Regel keine Endpoint-Detection-Überwachung haben [1]. Ein Büro, das über ein NetScaler-VPN auf seine Dateien oder Anwendungen zugreift, hängt davon ab, dass dieses Gerät gepatcht ist, egal ob es die Appliance selbst betreibt oder ein Dienstleister sie in seinem Auftrag betreibt.
Ergebnisse
Zwei Schwachstellen werden genannt, CVE-2026-88772 und CVE-2026-88771. CyberScoop beschreibt die zweite als Command-Injection-Schwachstelle und berichtet, beide seien auf der CVSS-Skala mit 9,5 bewertet und erlaubten Remote Code Execution auf NetScaler-ADC- und Gateway-Geräten in Standardkonfigurationen [2]. Die Analyse von watchTowr zu CVE-2026-88772 beschreibt einen Speicherüberlauf bei der Verarbeitung fragmentierter DTLS-Handshake-Nachrichten. DTLS ist für virtuelle VPN-Server standardmäßig aktiviert, und ein Administrator muss es ausdrücklich abgeschaltet haben, um nicht betroffen zu sein [4].
Laut CyberScoop beobachtete GreyNoise am 24. September einen erfolglosen Ausnutzungsversuch, und über das Wochenende kursierten Warnungen auf inoffiziellen Kanälen, während Citrix öffentlich schwieg; Citrix veröffentlichte seine Sicherheitsmitteilung am Sonntag, dem 28. September [2]. Der Geschäftsführer von watchTowr, Ben Harris, wird mit den Worten zitiert, Kunden hätten in dieser Zeit Warnungen über inoffizielle Kanäle erhalten [2].
Mandiant beschreibt eine Angriffskette, in der fehlerhafte DTLS-Record-Header zu einer Beschädigung des Heap-Speichers und zur Codeausführung mit Root-Rechten führen. Anschließend richteten die Angreifer Persistenz in der Webserver-Konfiguration der Appliance ein und setzten zwei Werkzeuge ein, die Mandiant WHIPSHOT, eine PHP-Webshell, und SLAPSHOT, einen Python-Proxy zum Tunneln von Datenverkehr, nennt [3]. CyberScoop ergänzt, Charles Carmakal von Mandiant habe gesagt, Mandiant kenne Dutzende betroffener Organisationen und erwarte kurzfristig breite, opportunistische Ausnutzung. Zu den betroffenen Branchen zählen Regierung, Finanzdienstleistungen, Bildung, Telekommunikation, Rechts- und Beratungsdienstleistungen in Nordamerika und Europa [1].
CyberScoop berichtet, Palo Alto Networks habe Stand Sonntag mehr als 50.000 öffentlich erreichbare verwundbare Instanzen identifiziert, und die CISA habe beide Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Es sei der fünfte Citrix-Eintrag im Jahr 2026 und der 26. seit Ende 2021 [2].
Folgen für kleine Büros und Menschen im Homeoffice
Die verwundbare Komponente ist die Appliance, nicht der Laptop dahinter. Wer sich über ein NetScaler-Gateway verbindet, kann es nicht patchen und kann von der Clientseite aus nicht erkennen, ob es aktualisiert wurde. Mandiant nennt Zugangsdaten, die auf der Appliance gespeichert sind oder über sie laufen, unter den Dingen, die nach einer Kompromittierung zu erneuern sind, darunter LDAP-Bind-Konten, gemeinsame RADIUS-Geheimnisse und TACACS-Zugangsdaten, und rät, nachgelagerte Infrastruktur wie StoreFront- und Virtual-Apps-Hosts zu prüfen [3]. Für ein kleines Büro läuft das auf Fragen an die Person hinaus, die das Gateway betreibt.
Empfehlungen
- Den Betreiber des Gateways, den IT-Dienstleister oder die IT-Abteilung des Arbeitgebers fragen, ob dort NetScaler läuft und in welchem Build. Die von Mandiant und watchTowr genannten korrigierten Builds sind 14.1-73.37 und 13.1-64.23 oder neuer, einschließlich ihrer FIPS-Varianten [3] [4].
- Wo das Patchen sich verzögert, nennt Mandiant ausgleichende Maßnahmen: DTLS abschalten, wo möglich, eingehendes UDP 443 vorgelagert blockieren und Quelladressen an der Perimeter-Firewall per Allowlist freigeben [3].
- Nach einer vermuteten Kompromittierung aktive Admin- und VPN-Sitzungen widerrufen und die Zugangsdaten und SSH-Schlüssel der Appliance erneuern [3].
- Passwörter, die seit Anfang September über das Gateway verwendet wurden, als möglicherweise offengelegt behandeln, wenn der Betreiber keine saubere Appliance bestätigen kann, und sie ändern [3].
- Sich nicht darauf verlassen, dass keine Warnungen kommen. Die Kampagne lief mindestens drei Wochen, bevor sie bestätigt wurde [1].
Bezug zu FireAI
FireAI läuft auf einem Mac. Es patcht, scannt oder überwacht keine NetScaler-Appliance, sieht den Datenverkehr zum und im Gateway nicht über das hinaus, was der Mac selbst sendet, und erkennt keinen Einbruch auf einem Netzwerkgerät. Was es tut, ist lokal. Aktivität und Verbindungsverlauf zeigt, welche App sich mit welchem Server verbunden hat, sodass eine unerwartete App, die ein neues Ziel kontaktiert, sichtbar wird. Regeln können dem VPN-Client erlauben, das Büro-Gateway zu erreichen und sonst nichts. Wenn jemand vermutet, dass ein von einem Mac aus genutztes Konto offengelegt wurde, verweigert der Notfallschalter neue Verbindungen außerhalb des Heim- oder Büronetzwerks, schließt aber bereits offene Verbindungen nicht.
Einschränkungen
Die beiden CyberScoop-Artikel sind Sekundärberichte, und die Details, in denen sie sich unterscheiden, etwa das genaue Datum, an dem die Angriffe bestätigt wurden, wurden nicht abgeglichen. Die Zahl von 50.000 exponierten Instanzen von Palo Alto Networks wird von CyberScoop zitiert; die Threat Brief von Unit 42 selbst konnte für diesen Beitrag nicht abgerufen werden. Die Quellen sagen nicht, wie viele kleine Büros betroffen sind, ob ein Opfer ein Mac-Nutzer war oder wer die Akteure sind, über Mandiants Beschreibung hinaus. Die Zahl von 48 Prozent bezieht sich laut CyberScoop auf Angriffe dieser Art auf Unternehmen im Vorjahr und wurde nicht anhand der zugrunde liegenden Studie geprüft.
FireAI von HisnLabs 17 Tage kostenlos testen.