Citrix NetScaler ADC und Gateway: kritische Speicherfehler ermöglichen Dienstverweigerung (CVE-2026-120868)

Was ist passiert

Am 13. November 2026 hat Citrix Sicherheitsupdates für NetScaler ADC und NetScaler Gateway veröffentlicht (Advisory CTX697305). Die breitestgehend relevante Schwachstelle ist CVE-2026-120868 (CVSS 9.3). Dabei handelt es sich um einen Speicherüberlauf in der Paketverarbeitung, der zu unvorhersehbarem oder fehlerhaftem Verhalten oder zu einer Dienstverweigerung (DoS) führen kann. Laut Advisory betrifft sie alle Installationen von NetScaler ADC und NetScaler Gateway, unabhängig von ihrer Konfiguration.

Dieselbe Version behebt acht weitere kritische Speicherfehler. Jeder davon ist nur dann relevant, wenn eine bestimmte Funktion konfiguriert ist:

• CVE-2026-107407 (CVSS 9.3): Speicherüberlauf im SMPP-Datenverkehr. Betrifft Load-Balancing- oder Content-Switching-virtuelle Server vom Typ SMPP.
• CVE-2026-107408 (CVSS 9.3): Speicherbeschädigung in DNS / DNS-over-HTTPS. Betrifft Appliances, die für DNS-Lastverteilung und rekursive DNS-Auflösung konfiguriert sind.
• CVE-2026-107409 (CVSS 9.3): Speicherbeschädigung in DNS-over-HTTPS. Betrifft DNS-Lastverteilung über HTTPS.
• CVE-2026-107410 (CVSS 9.3): Speicherüberlauf in NetScaler Push. Betrifft Load-Balancing-virtuelle Server vom Typ PUSH.
• CVE-2026-107412 (CVSS 9.5): mehrere Speicherüberläufe. Betrifft Appliances, die als Gateway- oder AAA-virtueller Server konfiguriert sind.
• CVE-2026-107415 (CVSS 9.3): Speicherüberlauf in der E-Mail-OTP-Authentifizierung. Betrifft Konfigurationen mit einer E-Mail-Aktion.
• CVE-2026-111344 (CVSS 9.3): Speicherüberlauf in Endpoint Analysis (EPA/EPAS). Betrifft VPN- oder AAA-virtuelle Server, die Endpoint Analysis verwenden.
• CVE-2026-120864 (CVSS 9.3): Speicherüberlauf im ICA-Proxy. Betrifft Gateway-VPN-, AAA- oder CR-virtuelle Server (Typ HDX).

Alle diese Schwachstellen können zu unvorhersehbarem Verhalten oder einer Dienstverweigerung führen. Zum Zeitpunkt der Veröffentlichung teilte Citrix mit, dass keine Exploits für diese Schwachstellen bekannt seien. Die CISA führt sie nicht als ausgenutzt.

Am selben Tag hat Citrix außerdem drei Schwachstellen in anderen Produkten behoben, jeweils in einem eigenen Advisory:

• CVE-2026-120869 (CVSS 9.4): Umgehung der Authentifizierung in NetScaler Console. Behoben in 14.1-74.34 und höher.
• CVE-2026-118268: Rechteausweitung auf SYSTEM in Secure Access Client für Windows. Behoben in 26.11.1.6 und höher.
• CVE-2026-118269: Rechteausweitung auf root in Secure Access Client für Linux. Behoben in 26.10.4 und höher.

Wer ist betroffen

Sie sind von CVE-2026-120868 betroffen, wenn Sie NetScaler ADC oder NetScaler Gateway in einer Version betreiben, die älter als die folgenden korrigierten Releases ist:

• NetScaler ADC und NetScaler Gateway 14.1: behoben in 14.1-73.57 und höher
• NetScaler ADC und NetScaler Gateway 13.1: behoben in 13.1-64.39 und späteren Releases von 13.1
• NetScaler ADC 14.1-FIPS: behoben in 14.1-73.58 FIPS und späteren Releases von 14.1-FIPS
• NetScaler ADC 13.1-FIPS und 13.1-NDcPP: behoben in 13.1-37.293 und späteren Releases von 13.1-FIPS und 13.1-NDcPP

Die übrigen acht Schwachstellen in NetScaler ADC und Gateway gelten nur, wenn die jeweils genannte Funktion konfiguriert ist. CVE-2026-120868 hängt nicht von der Konfiguration ab, daher benötigt jede Appliance unterhalb der korrigierten Versionen das Update.

Systeme, auf denen kein NetScaler läuft, sind nicht betroffen: normale Webserver, Mailserver oder Hosting-Panels. Wenn Sie nur NetScaler Console oder den Secure Access Client verwenden, lesen Sie bitte die separaten Advisories von Citrix zu diesen Produkten.

Was Sie jetzt tun sollten

1. Erfassen Sie alle NetScaler-ADC- und NetScaler-Gateway-Instanzen, einschließlich HA-Paare, VPX-Instanzen in der Cloud und Appliances, die Sie für Kunden betreiben.
2. Sichern Sie die Konfiguration jeder Instanz (ns.conf), bevor Sie das Update durchführen.
3. Aktualisieren Sie auf 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS oder 13.1-37.293 (FIPS/NDcPP) bzw. auf ein späteres Release Ihres Zweigs. Bei HA-Paaren aktualisieren Sie zuerst den Sekundärknoten, führen dann ein Failover durch und aktualisieren anschließend den bisherigen Primärknoten.
4. Prüfen Sie nach dem Neustart, ob die virtuellen Server verfügbar sind und ob Anmeldungen über Gateway, VPN und Authentifizierung funktionieren.
5. Falls Sie NetScaler Console verwenden, aktualisieren Sie auf 14.1-74.34 oder höher. Aktualisieren Sie Installationen des Secure Access Client unter Windows (26.11.1.6) und Linux (26.10.4).
6. Wenn Sie nicht sofort aktualisieren können, beschränken Sie den Zugriff auf die Management-Schnittstellen auf vertrauenswürdige Netze und überwachen Sie die Appliances auf unerwartete Neustarts oder Abstürze, bis das Update installiert ist.

So prüfen Sie, ob Sie betroffen sind

Prüfen Sie die installierte Build-Version in der Management-GUI oder mit dem CLI-Befehl show ns version. Liegt der Build unter der korrigierten Version für Ihren Zweig, ist die Appliance für CVE-2026-120868 verwundbar. Um festzustellen, ob die anderen Schwachstellen ebenfalls zutreffen, vergleichen Sie Ihre Konfiguration mit den oben genannten Bedingungen, etwa SMPP- oder PUSH-virtuelle Server, DNS-Lastverteilung, Gateway- bzw. AAA-virtuelle Server, E-Mail-OTP, Endpoint Analysis oder ICA-Proxy. Die vollständigen Details finden Sie im Citrix-Advisory CTX697305.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-120868
• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697305