Kunden sollten ihre NetScaler ADC- und NetScaler Gateway-Instanzen umgehend auf die von Citrix empfohlenen, gepatchten Versionen aktualisieren.
Wird laut Meldung tatsaechlich ausgenutzt: active exploitation, exploited in the wild+12
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Citrix Patches Critical NetScaler Flaw That Could Enable RCE in SAML Deployments
Citrix hat eine kritische Sicherheitslücke (CVE-2026-107406) in NetScaler ADC und NetScaler Gateway behoben, die bei SAML-Konfigurationen zu Remote Code Execution oder Denial-of-Service führen kann. Betroffen sind spezifische Versionen, insbesondere wenn sie als SAML-Identitäts- oder Dienstanbieter konfiguriert sind. Kunden sollten ihre NetScaler-Instanzen umgehend auf die empfohlenen Versionen aktualisieren, um die Schwachstelle zu schließen.
SecBoard-Einordnung
Die Schwachstelle ermöglicht Remote Code Execution, was Angreifern die vollständige Kontrolle über betroffene Systeme geben könnte. Ein Denial-of-Service-Angriff könnte zudem die Verfügbarkeit kritischer Dienste beeinträchtigen.
Realistisch schlimmster Fall: Ein Angreifer könnte die Schwachstelle ausnutzen, um beliebigen Code auf dem NetScaler-Gerät auszuführen, was zur Kompromittierung des Netzwerkperimeters und potenziell zum Zugriff auf interne Ressourcen führen könnte. Dies könnte auch die Unterbrechung von Authentifizierungsdiensten durch DoS zur Folge haben.
Im erfassten Bestand
- ▸CVE-2026-107406 kommt damit in 4 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- unbekannt
- EPSS
- 0.5%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
Betroffen
Organisationen, die Citrix NetScaler ADC oder NetScaler Gateway einsetzen, insbesondere wenn diese als SAML-Identitäts- oder Dienstanbieter konfiguriert sind, einschließlich Secure Private Access Hybrid-Bereitstellungen.
Prüfen
3- ▸Überprüfen Sie, ob Ihre NetScaler ADC- und NetScaler Gateway-Instanzen als SAML-Identitäts- oder Dienstanbieter konfiguriert sind.
- ▸Stellen Sie sicher, dass alle NetScaler-Instanzen auf die neuesten, von Citrix bereitgestellten, gepatchten Versionen aktualisiert wurden.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie Ihre NetScaler-Geräte auf ungewöhnliche Aktivitäten oder Anzeichen von Kompromittierung, insbesondere in Bezug auf SAML-Authentifizierungsflüsse.
Offene Punkte
2▸ anzeigen▾ ausblenden
- ▸Der genaue Exploit-Vektor oder die Komplexität der Ausnutzung der Schwachstelle sind im Artikel nicht detailliert beschrieben.
- ▸Es wird nicht angegeben, ob die Schwachstelle bereits aktiv ausgenutzt wird (in the wild).
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Citrix extern erreichbar?
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Citrix hat eine kritische Sicherheitslücke (CVE-2026-107406) in NetScaler ADC und NetScaler Gateway behoben, die bei SAML-Konfigurationen zu Remote Code Execution oder Denial-of-Service führen kann.“
„die bei SAML-Konfigurationen zu Remote Code Execution ... führen kann.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- SecurityWeekKontextCitrix Urges Immediate Patching of Critical NetScaler Vulnerability
- The Hacker NewsKontextCitrix Patches Critical NetScaler Flaw That Could Enable RCE in SAML Deployments
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile