Wieder steht Citrix NetScaler im Zentrum aktiver Angriffe: Die US-Cybersicherheitsbehörde CISA hat die Schwachstelle CVE-2026-8452 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen und Bundesbehörden angewiesen, sie sofort zu beheben. Die Aufnahme erfolgte am 26. August, als Frist für die Umsetzung nennt CISA den 29. August.
Citrix hatte den Fehler am 30. Juni zusammen mit Patches für mehrere weitere Schwachstellen behoben. Die korrigierten Versionen sind 14.1-72.61 (FIPS), 13.1-63.18 und 13.1-37.272. Angreifbar sind nach Herstellerangaben nur solche Geräte, die als AAA-Virtual-Server oder als Gateway-VPN-Server eingerichtet sind — eine Einschränkung, die den betroffenen Gerätekreis begrenzt, aber gerade die nach außen exponierten Zugangs-Systeme trifft.
In seinem Advisory beschreibt Citrix das Problem als Speicherüberlauf mit hohem Schweregrad, der unvorhersehbares oder fehlerhaftes Verhalten sowie Denial-of-Service-Angriffe ermöglicht. Diese Einschätzung greift nach Analyse der Sicherheitsfirma WatchTowr zu kurz: Die Forscher demonstrierten, dass die Lücke für die Ausführung beliebigen Codes aus der Ferne ohne Authentifizierung nutzbar ist. Am 14. August machte WatchTowr sowohl die technischen Details als auch Proof-of-Concept-Code öffentlich.
Danach ging es schnell. Die Beobachtungsdienste Previdian, vormals KEVIntel, und Defused registrierten kurz nach der Veröffentlichung erste Ausnutzungsversuche im Netz. Previdian berichtete, dass die Angreifer eine Web-Shell auf den betroffenen Systemen ablegten und anschließend Erkundungsbefehle wie ‘id’ und ’echo’ ausführten — ein typisches Vorgehen, um nach erfolgreichem Zugriff Rechte und Umgebung des kompromittierten Systems zu prüfen.
Das Advisory von Citrix wurde bislang nicht aktualisiert, um die Ausnutzung in freier Wildbahn zu bestätigen. Damit stützen sich Betreiber derzeit auf die Angaben von CISA, WatchTowr und den beiden Beobachtungsdiensten, wenn sie die Dringlichkeit des Patches einschätzen wollen.
Für NetScaler ist es nicht der erste Fall dieser Art in den vergangenen Monaten. Zuvor war bereits CVE-2026-8451 angegriffen worden — eine Schwachstelle, die an die als CitrixBleed bekannte Lücke erinnert. Dort begannen Angreifer bereits innerhalb von 24 Stunden nach der öffentlichen Bekanntgabe mit der Ausnutzung. Das Muster gleicht sich: eine als moderat kommunizierte Lücke, eine externe Analyse mit gravierenderem Befund, öffentlicher Exploit-Code und unmittelbar darauf reale Angriffe.
Administratoren betroffener Installationen sollten daher prüfen, ob ihre Appliances als AAA-Virtual-Server oder Gateway-VPN-Server konfiguriert sind, und in diesem Fall auf eine der von Citrix genannten Versionen aktualisieren.