Unternehmensführung · 5. Oktober 2026
Das Gerät, das auf die Straße schaut
Am 27. September bestätigte Citrix zwei NetScaler-Fehler, die weder Benutzer noch Passwort verlangten. Mehrere Administratoren schalteten das Gerät vor Montag ab.
Von Rafael Núñez Aponte. Veröffentlicht am 5. Oktober 2026.
Originaltext auf Spanisch. Spanische Originalfassung lesen
Es gibt Geräte, die auf niemandes Schreibtisch stehen. Sie stehen an der Tür.
Am 27. September veröffentlichte Citrix das Bulletin CTX697096. Acht Fehler in NetScaler ADC und NetScaler Gateway. Zwei waren schon in Gebrauch: CVE-2026-88771 und CVE-2026-88772. Beide bei 9,5.
Ohne Benutzer und ohne Passwort
Die erste führt Befehle ohne Authentifizierung aus. Citrix sagt, sie brauche keine besondere Konfiguration: die Installation von der Stange reicht. Die zweite ist ein Speicherüberlauf. Sie braucht DTLS, und DTLS ist auf VPN-Virtual-Servern ab Werk an.
Die CISA nahm beide an diesem Wochenende in den Katalog ausgenutzter Schwachstellen auf. watchTowr berichtete, die Ausnutzung sei älter als der Patch. SecurityWeek hielt fest, dass mehrere Administratoren das Gerät abschalteten: Montag war schon zu spät. Network World zitierte dieselbe Eile.
Montag ist zu spät ist kein Satz aus einem Prospekt. Es ist das, was bleibt, wenn das Gerät mit Blick auf die Straße am Samstag keinen Eigentümer hat.
Was Sie am Montag fragen
- Gibt es einen NetScaler mit Blick aufs Internet, und liegt er unter 14.1-73.37 oder 13.1-64.23?
- Wer kann ihn an einem Sonntag abschalten, ohne am Montag um Erlaubnis zu bitten?
- Wurde geprüft, ob er schon benutzt wurde, oder lag der Patch nur obenauf?
- Erscheint das Gerät auf der Karte, die der Vorstand sieht, oder nur auf der des Anbieters?
Quellen
- Critical vulnerabilities in Citrix NetScaler ADC and Gateway, advisory 2026-014. CERT-EU. Konsultiert: 2026-10-05. El 27 de septiembre de 2026 Citrix publicó el boletín CTX697096. CVE-2026-88771 es ejecución remota sin autenticación, sin precondición. CVE-2026-88772 es desborde de memoria. Citrix confirmó explotación.
- Citrix confirms two NetScaler zero-days after admins pulled the plug. SecurityWeek. Konsultiert: 2026-10-05. Las dos fallas tienen CVSS 9,5. CISA las incorporó al catálogo de vulnerabilidades explotadas. Varios administradores sacaron de línea el equipo.
- NetScaler admins told to patch critical zero-days in ADC and Gateway now. Network World. Konsultiert: 2026-10-05. Los arreglos están en 14.1-73.37 y 13.1-64.23. CVE-2026-88772 pide DTLS, activo de fábrica en servidores virtuales de VPN. watchTowr reportó explotación anterior al parche.