SecBoard
Zurück zur Übersicht
Kritisch100 / 100Konfidenz: Mittel
In CISA KEVCVSS10.0EPSS90 %Über Netz erreichbarOhne Anmeldung

Installieren Sie umgehend die von Citrix bereitgestellten Patches für NetScaler ADC und Gateway.

▸Herleitung der Bewertung(8)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-88771, CVE-2026-88772, CVE-2026-87902, CVE-2026-93616, CVE-2026-85102, CVE-2026-93952, CVE-2026-94127, CVE-2026-63077+25
  • Hoechster CVSS-Basiswert 10.0+18
  • EPSS 89.6 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+13
  • Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-88771, CVSS-Vektor AV:N/PR:N)+10
  • Ransomware-Vorfall — Thema: ransomware, ransom, clop | Ereignisbeleg: victim, victims+10
  • Belegte ATT&CK-Technik zum Erstzugriff+6
  • 3 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 3 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2024-0244, CVE-2026-82987, CVE-2026-42608
  • Fuer 5 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Active Directory & IdentityKI-Sicherheit

⚡ Weekly Recap: $387M Crypto Hack, Citrix Exploits, AI Agents Go Off-Script, and More Threats

The Hacker News·
Originalartikel lesen bei The Hacker News

Citrix warnt vor aktiv ausgenutzten Schwachstellen in NetScaler ADC und Gateway (CVE-2026-88771, CVE-2026-88772), die unauthentifizierten Angreifern die Ausführung beliebiger Befehle ermöglichen. Betroffen sind Unternehmen weltweit, die diese Produkte nutzen. Es wird dringend empfohlen, die von Citrix bereitgestellten Patches umgehend zu installieren. Zusätzlich wurde die Krypto-Börse Bitget gehackt, wobei über 387 Millionen Dollar gestohlen wurden, und eine als Platzhalter genutzte Domain ("third-party[.]com") wurde registriert, um bösartige Inhalte zu verbreiten.

SecBoard-Einordnung

Die Schwachstellen ermöglichen unauthentifizierten Angreifern die Ausführung beliebiger Befehle, was zu einem vollständigen Systemkompromiss führen kann. Dies stellt ein erhebliches Risiko für die Vertraulichkeit, Integrität und Verfügbarkeit von Unternehmensdaten dar.

Realistisch schlimmster Fall: Unauthentifizierte Angreifer könnten die Kontrolle über betroffene Citrix-Systeme erlangen, sensible Daten exfiltrieren, installieren oder weitere Angriffe im Netzwerk starten.

Empfehlung: Installieren Sie umgehend die von Citrix bereitgestellten Patches für NetScaler ADC und Gateway. Überprüfen Sie Ihre Systeme auf Anzeichen einer Kompromittierung.

Im erfassten Bestand

  • ▸75. erfasste Meldung zu ShinyHunters innerhalb von 90 Tagen.
  • ▸CVE-2026-85102 kommt damit in 17 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 61

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-93952CISA KEV
CVSS
10.0 · CRITICAL
EPSS
1.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-22
Patch
unbekannt
Zuweisende CNA
psirt@arista.com
CVE-2026-63077CISA KEV
CVSS
9.8 · CRITICAL
EPSS
89.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-05
Patch
unbekannt
CVE-2026-93616CISA KEV
CVSS
9.8 · CRITICAL
EPSS
75.9%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-22
Patch
unbekannt
Zuweisende CNA
cve@checkpoint.com
CVE-2026-85102CISA KEV
CVSS
9.8 · CRITICAL
EPSS
54.2%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-22
Patch
unbekannt
Zuweisende CNA
cve@checkpoint.com
CVE-2026-94127CISA KEV
CVSS
9.8 · CRITICAL
EPSS
2.2%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-22
Patch
unbekannt
Zuweisende CNA
f5sirt@f5.com
CVE-2026-88771CISA KEV
CVSS
9.8 · CRITICAL
EPSS
1.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-27
Patch
unbekannt
CVE-2026-87902CISA KEV
CVSS
8.1 · HIGH
EPSS
40.0%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-25
Patch
unbekannt
Zuweisende CNA
support@hackerone.com
CVE-2026-88772CISA KEV
CVSS
8.1 · HIGH
EPSS
1.3%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-27
Patch
unbekannt
CVE-2026-86296
CVSS
10.0 · CRITICAL
EPSS
1.7%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
cna@vuldb.com
CVE-2026-75745
CVSS
10.0 · CRITICAL
EPSS
1.2%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-97359
CVSS
10.0 · CRITICAL
EPSS
0.8%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
disclosure@vulncheck.com
CVE-2026-97360
CVSS
10.0 · CRITICAL
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
disclosure@vulncheck.com

Betroffen

Unternehmen weltweit, die Citrix NetScaler ADC und Gateway Produkte nutzen, sind betroffen.

Hersteller

AristaCheck PointCheckpointCitrixF5JetBrainsWordPress

Produkte

BIG-IP APMCoreMultiple ProductsNetScalerTeamCityVeloCloud OrchestratorBig Ip Access Policy ManagerGaia Embedded2 VersionenMulti Domain Security ManagementNetscaler Application Delivery ControllerNetscaler GatewayWordpress
▸ CPE-Rohbezeichner anzeigen (47)
  • cpe:2.3:a:arista:velocloud_orchestrator:*:*:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:*:*:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:-:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_106:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_107:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_109:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_110:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_113:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_128:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_129:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_130:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_131:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_132:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_135:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_139:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_141:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_14:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_150:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_152:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_156:*:*:*:*:*:*
  • cpe:2.3:a:checkpoint:multi-domain_security_management:r81.10:take_158:*:*:*:*:*:*
  • cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:-:*:*:*
  • cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:fips:*:*:*
  • cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:ndcpp:*:*:*
  • cpe:2.3:a:citrix:netscaler_gateway:*:*:*:*:*:*:*:*
  • cpe:2.3:a:f5:big-ip_access_policy_manager:*:*:*:*:*:*:*:*
  • cpe:2.3:a:f5:big-ip_access_policy_manager:21.1.0:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:*:*:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:-:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:build_996004508:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:build_996004620:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:build_996004653:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:build_996004721:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:build_996004892:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:build_996004901:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:build_996004914:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r81.10.17:build_996004936:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:-:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:build_998001559:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:build_998001562:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:build_998002110:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:build_998002112:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:build_998002133:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:build_998002203:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:build_998002216:*:*:*:*:*:*
  • cpe:2.3:o:checkpoint:gaia_embedded:r82.00.10:build_998002242:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob alle Citrix NetScaler ADC und Gateway Instanzen auf die neuesten gepatchten Versionen aktualisiert wurden.
  • ▸Suchen Sie in Ihren Systemprotokollen nach ungewöhnlichen Aktivitäten oder Befehlsausführungen auf Citrix NetScaler ADC und Gateway Geräten.
▸ 1 weitere
  • ▸Führen Sie Schwachstellenscans durch, um das Vorhandensein von CVE-2026-88771 und CVE-2026-88772 zu überprüfen.

Offene Punkte

3
▸ anzeigen
  • ▸Die spezifischen Versionen von NetScaler ADC und Gateway, die von den Schwachstellen betroffen sind, werden nicht genannt.
  • ▸Details zu den Angreifergruppen oder deren Motivationen sind nicht spezifiziert.
  • ▸Es gibt keine Informationen über die genaue Art der 'beliebigen Befehle', die ausgeführt werden können.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Fortinet extern erreichbar?
  • Haben wir Citrix extern erreichbar?
  • Können wir Initial Access detektieren?
  • Können wir Execution detektieren?

Erwähnte Akteure & Werkzeuge

Bedrohungsakteure
KimsukyG0094Scattered SpiderG1015ShinyHuntersG1057
Malware
RyukS0446ClopS0611

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„unauthentifizierten Angreifern die Ausführung beliebiger Befehle ermöglichen“

T1190Exploit Public-Facing Applicationzugeordnet

„aktiv ausgenutzten Schwachstellen in NetScaler ADC und Gateway (CVE-2026-88771, CVE-2026-88772), die unauthentifizierten Angreifern die Ausführung beliebiger Befehle ermöglichen“

T1036Masqueradingabgeleitet
T1053.005Scheduled Task/Job: Scheduled Taskabgeleitet
T1566Phishingabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

1

›

Ausnutzung

1

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

0

1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

ATT&CK-Heatmap

ATT&CK-Heatmap
Vollständigen Artikel lesen bei The Hacker News

Verwandte Artikel

MITRE ATT&CK v20 Catalogs AI Abuse, MFA Bypass, Water Utility Attacks

SecurityWeek·vor 3 Tagen

Introducing Adversary Intelligence: LLM Tradecraft

SpecterOps·vor 22 Tagen

Webinar: How to Govern AI Agents, Reduce Excessive Access, and Control Shadow AI

The Hacker News·vor 24 Tagen

Okta Shares Surge on Strong Earnings, Growing Demand for AI Identity Security

SecurityWeek·vor etwa 2 Monaten