Citrix hat Updates veröffentlicht, die teils kritische Sicherheitslücken in Netscaler ADC und Netscaler Gateway schließen. Bösartige Akteure könnten dadurch die Authentifizierung umgehen oder unvorhersehbares Verhalten provozieren.
Davor warnt Citrix in einer Sicherheitsmitteilung vom Mittwoch dieser Woche. Das schwerwiegendere Sicherheitsleck beschreibt Citrix lediglich mit der Erläuterung nach Common Weakness Enumeration (CWE). Die Authentifizierung lässt sich demnach auf alternativen Wegen umgehen (CVE-2026-19490, CVSS4 9.3, Risiko „kritisch“). Die Sicherheitsmitteilung nennt noch einige Vorbedingungen, die zum Missbrauch der Lücke erfüllt sein müssen. Es handelt sich um Einstellungen, die Admins vornehmen müssen, um die Netscaler für Fernzugriffe einzurichten und Identitäten – in neueren Netscaler-Versionen – mittels SAML zu prüfen. Wie jedoch die alternativen Pfade konkret aussehen, erklärt Citrix nicht.
Die zweite Schwachstelle verpasst nur knapp eine Einordnung als kritisches Risiko. Es handelt sich um einen Speicherüberlauf, der zu unvorhergesehenem Verhalten oder Denial-of-Service führen kann. Ob die Verhaltensstörung das Ausführen von eingeschleustem Code umfasst, klärt Citrix nicht auf. Der Überlauf kann auftreten, wenn SIP ALG in einer Large-Scale-NAT-Gruppenkonfiguration aktiviert ist (CVE-2026-19489, CVSS4 8.8, Risiko „hoch“).
