Wochenlage KW41: Aktive Ausnutzung von Citrix NetScaler Zero-Day im Fokus

Überblick der Woche

Die Cyber-Lage der KW41 wurde maßgeblich durch die aktive Ausnutzung einer kritischen Zero-Day-Schwachstelle in Citrix NetScaler ADC und Gateway bestimmt. Diese Lücke, die Denial-of-Service-Angriffe ermöglicht, erfordert umgehende Aufmerksamkeit. Darüber hinaus wurden zahlreiche weitere Schwachstellen in weit verbreiteten Unternehmenslösungen von Red Hat, Tenable, Nextcloud, Splunk und Cisco bekannt, die ein breites Spektrum an Risiken von Remote Code Execution bis zu Informationslecks abdecken.

Wichtigste Vorfälle & Signale

Das dominierende Signal dieser Woche ist die aktive Ausnutzung der Zero-Day-Schwachstelle CVE-2026-88779 in Citrix NetScaler ADC und Gateway. Diese Lücke betrifft Instanzen, die als SAML Service Provider (SP) oder Identity Provider (IdP) konfiguriert sind. Angreifer können diese Schwachstelle ohne vorherige Authentifizierung über das Netz ausnutzen, um Denial-of-Service-Angriffe zu verursachen. Es wurde beobachtet, dass auch Systeme betroffen waren, die kurz zuvor gepatcht wurden, was auf eine komplexe Angriffskette oder eine schnelle Anpassung der Angreifer hindeutet. Die Dringlichkeit wird durch die Aufnahme in den KEV-Katalog unterstrichen.

Kritische Schwachstellen (KEV / High)

Neben der bereits erwähnten CVE-2026-88779 (CVSS 7.5, EPSS 1%, KEV) in Citrix NetScaler, die aktiv ausgenutzt wird und ohne Anmeldung über das Netz erreichbar ist, sind weitere kritische Schwachstellen hervorzuheben:

• Tenable Identity Exposure (SaaS): Eine kritische Schwachstelle (vor Version 3.126.0) ermöglicht entfernte Codeausführung.
• Nextcloud-Produkte: Mehrere kritische Schwachstellen können zu Datenvertraulichkeitsverletzungen, Privilegienerhöhungen und Denial-of-Service führen.
• Splunk-Produkte: Mehrere Schwachstellen ermöglichen Remote-Code-Ausführung, Privilegienerhöhung und Datenvertraulichkeitsverletzungen.
• Cisco-Produkte: Diverse Produkte (APIC, Finesse, etc.) sind von kritischen Schwachstellen betroffen, die Datenlecks, Dienstverweigerung und Remote-Code-Ausführung ermöglichen.
• Red Hat Enterprise Linux (RHEL): Mehrere Schwachstellen in sssd, tftp, ansible-collection-ansible-posix und pki-core ermöglichen Privilegienerhöhungen, Sicherheitsumgehungen und Denial-of-Service. Eine weitere Schwachstelle in pki-core ermöglicht die Offenlegung von Informationen.
• PCRE (Perl Compatible Regular Expressions): Mehrere Schwachstellen ermöglichen Denial-of-Service-Angriffe.
• Dell Container Storage Modules (CSM): Versionen vor v1.18.0 enthalten Missing Authentication for Critical Function-Schwachstellen (CVE-2026-63688, CVE-2026-63692) mit CVSS 10.0.
• TOTOLINK Router: Mehrere Schwachstellen (CVE-2026-105284, CVE-2026-105285, CVE-2026-105484) mit CVSS 10.0 wurden identifiziert, die u.a. die Ausführung manipulierter Befehle ermöglichen.
• Kognetiks Chatbot for WordPress und Doctreat: Unauthentifizierter Arbitrary File Upload und Privilege Escalation (CVE-2026-32579, CVE-2026-39770, CVE-2026-39773) mit CVSS 10.0.
• Payload CMS: Eine Schwachstelle (CVE-2026-105857) in @payloadcms/plugin-form-builder ermöglicht Angreifern, Formulare zu manipulieren.
• Quasar Framework: Eine Schwachstelle (CVE-2026-106102) vor Version 2.22.0 im SSR-only getHead() Serializer kann zur Interpolation von Werten führen.
• Rejetto HFS: Eine Schwachstelle (CVE-2026-61500) in Versionen 3.0.0 bis 3.2.0 leitet den Session-Cookie-Signierschlüssel von Math.random() ab.
• Johnson Controls EasyIO FG: Schwachstellen (CVE-2026-27872, CVE-2026-27873) in Versionen vor 2.0b52 betreffen Improper Privilege Management und die Verwendung von Hard-coded Credentials.
• Atlassian Data Center Produkte: Eine Schwachstelle (CVE-2026-21589) betrifft Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible und Fisheye.
• SonicWall SMA1000 Appliance: Eine Pre-authentication SSRF-Schwachstelle (CVE-2026-102255) mit CVSS 10.0 ermöglicht einem entfernten, unauthentifizierten Angreifer den Zugriff auf interne Ressourcen.
• Ahsay AhsayCBS: Schwachstellen (CVE-2026-105133, CVE-2026-105134) bis Version 10.3.2 ermöglichen u.a. die Manipulation von API-Funktionen.

Betroffene Branchen & Technologien

Die gemeldeten Schwachstellen betreffen eine breite Palette von Technologien, darunter Netzwerk-Perimeter-Geräte (Citrix NetScaler, Cisco), Betriebssysteme (Red Hat Enterprise Linux), Kollaborationssoftware (Nextcloud, Atlassian), Sicherheits-Tools (Tenable, Splunk) und IoT/Router (TOTOLINK, Johnson Controls). Dies deutet auf eine branchenübergreifende Relevanz hin, da diese Technologien in nahezu allen Sektoren zum Einsatz kommen. Insbesondere die Citrix-Schwachstelle ist für Organisationen mit extern zugänglichen SAML-Diensten kritisch.

Priorisierung für die kommende Woche

Die höchste Priorität liegt auf der umgehenden Überprüfung und dem Patchen von Citrix NetScaler ADC und Gateway-Instanzen, insbesondere wenn diese als SAML SP oder IdP konfiguriert sind. Da die Schwachstelle aktiv ausgenutzt wird und im KEV-Katalog gelistet ist, besteht ein akutes Risiko. Ebenso kritisch sind die Schwachstellen in Tenable Identity Exposure, Nextcloud, Splunk und Cisco, die ebenfalls Remote Code Execution oder Privilegienerhöhungen ermöglichen. Für alle anderen genannten Produkte sollten die entsprechenden Patches zeitnah eingespielt werden, um die Angriffsfläche zu minimieren. Ein besonderes Augenmerk sollte auf öffentlich erreichbare Systeme gelegt werden.

Quellenhinweise

• CERT-Bund: [NEU] [mittel] Red Hat Enterprise Linux (sssd, tftp, ansible-collection-ansible-posix): Mehrere Schwachstellen
• CERT-Bund: [UPDATE] [mittel] Red Hat Enterprise Linux (pki-core): Schwachstelle ermöglicht Offenlegung von Informationen
• CERT-FR: Vulnérabilité dans les produits Tenable (09 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans les produits Nextcloud (09 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans les produits Splunk (08 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans les produits Cisco (08 octobre 2026)
• CERT-Bund: [UPDATE] [mittel] PCRE (Perl Compatible Regular Expressions): Schwachstelle ermöglicht Denial of Service
• CERT-Bund: [UPDATE] [mittel] PCRE (Perl Compatible Regular Expressions): Schwachstelle ermöglicht Denial of Service
• The Hacker News: New NetScaler Zero-Day Exploited in Targeted Attacks Can Knock SAML Deployments Offline
• SecurityWeek: Exploitation of Citrix NetScaler Zero-Day Hits Appliances Patched Days Earlier