Im Mittelpunkt der Warnung steht CVE-2026-19490. Laut Citrix kann die Schwachstelle es entfernten Angreifern ohne Authentifizierung ermöglichen, Schutzmechanismen zu umgehen. Voraussetzung ist, dass die betroffene Appliance je nach Firmware-Version als AAA Virtual Server oder als Gateway betrieben wird, etwa für SSL VPN, ICA Proxy, CVPN oder RDP Proxy. Zusätzlich hängt die Anfälligkeit davon ab, ob eine SAML-Action konfiguriert ist.
Administratoren können nach Citrix-Angaben prüfen, ob ihre Systeme für Angriffe auf CVE-2026-19490 anfällig sind, indem sie die NetScaler-Konfiguration auf Einträge zur SAML-Action sowie auf Auth- oder VPN-vserver-Zeichenfolgen kontrollieren. Genannt werden dafür die Konfigurationsmuster „add authentication samlAction .“, „add authentication vserver .“ und „add vpn vserver .*“.
Die zweite Lücke, CVE-2026-19489, stuft Citrix als schwerwiegenden Speicherüberlauf ein. Sie könne von entfernten, nicht authentifizierten Angreifern für Denial-of-Service-Angriffe genutzt werden, wenn SIP ALG auf einer groß angelegten NAT-Gruppenkonfiguration aktiviert ist. Ob die Voraussetzungen für eine Ausnutzung vorliegen, können Sicherheitsteams laut Citrix prüfen, indem sie in der Konfiguration nach der Zeichenfolge „add lsn group.sipalg.“ suchen.
Citrix rät Kunden, verwundbare NetScaler ADC- und NetScaler-Gateway-Appliances auf die empfohlenen Builds zu aktualisieren. Der Hersteller erklärte am Mittwoch, man empfehle Kunden nachdrücklich, das offizielle Sicherheitsbulletin für NetScaler ADC und NetScaler Gateway zu prüfen, zu bewerten, ob ihre Umgebungen betroffen sind, und betroffene Appliances so schnell wie möglich auf die empfohlenen Builds zu aktualisieren.
Nach Angaben von Citrix gilt das Bulletin für unterstützte, von Kunden verwaltete Versionen von NetScaler ADC und NetScaler Gateway, darunter auch bestimmte FIPS- und NDcPP-Builds. Ebenfalls betroffen seien SecurAccess ZTNA Hybrid-Bereitstellungen, früher Secure Private Access Hybrid genannt, sofern sie kundenseitig verwaltete NetScaler-Instanzen nutzen.
Der Hersteller betont, dass die beiden neuen Schwachstellen bislang nicht als bereits aktiv ausgenutzt markiert wurden. Dennoch verweist der Kontext auf ein erhöhtes Risiko: Am 23. März hatte Citrix Administratoren bereits aufgefordert, zwei andere NetScaler-Schwachstellen — CVE-2026-3055 und CVE-2026-4368 — zu schließen, nur wenige Tage bevor Angreifer diese tatsächlich ausnutzten.
Die US-Behörde CISA nahm CVE-2026-3055 am 30. März in ihren Katalog der bekannten aktiv ausgenutzten Schwachstellen auf und verpflichtete Bundesbehörden, verwundbare Citrix-Appliances innerhalb von drei Tagen abzusichern. In den vergangenen fünf Jahren hat die US-Cybersicherheitsbehörde insgesamt 22 Citrix-Schwachstellen als in freier Wildbahn ausgenutzt eingestuft; sechs davon wurden demnach auch bei Ransomware-Angriffen missbraucht.
Wie groß die öffentlich erreichbare Angriffsfläche ist, zeigt eine aktuelle Beobachtung der ShadowServer Foundation. Sie erfasst derzeit mehr als 22.000 im Internet exponierte NetScaler-ADC-Instanzen und fast 1.800 NetScaler-Gateway-Instanzen. Angaben dazu, wie viele davon Honeypots sind oder wie viele konkret für Angriffe auf CVE-2026-19489 und CVE-2026-19490 verwundbar sein könnten, macht Shadowserver jedoch nicht.