Citrix hatte die Schwachstelle im Juni zunächst als reines Stabilitätsproblem eingeordnet. „Dies ist eine Speicherüberlauf-Schwachstelle, die zu unvorhersehbarem Verhalten oder einem Denial of Service führen kann und NetScaler Gateway oder AAA-Virtual-Server betrifft“, teilte das Unternehmen damals mit und ergänzte: „Wir haben zudem keine Ausnutzung dieser Schwachstelle ohne Gegenmaßnahmen beobachtet.“ Diese Einschätzung überholte sich, als watchTowr im August demonstrierte, dass eine erfolgreiche Ausnutzung auch Codeausführung mit Root-Rechten erlaubt.
Das Sicherheitsadvisory zu CVE-2026-8452 hat Citrix bislang nicht aktualisiert, um die laufende Ausnutzung anzuerkennen.
Wie groß die Angriffsfläche tatsächlich ist, lässt sich nur eingrenzen. Der Internet-Scanning-Dienst Shadowserver zählt derzeit mehr als 22.000 im Internet erreichbare NetScaler-ADC-Appliances und knapp 1.800 Gateway-Instanzen. Wie viele davon Honeypots sind, eine angreifbare Konfiguration aufweisen oder längst gepatcht wurden, ist unbekannt.
Parallel hatte Citrix seine Kunden vor einer Woche dazu aufgerufen, zwei weitere NetScaler-Schwachstellen unverzüglich zu schließen: CVE-2026-19490 und CVE-2026-19489. Beide lassen sich aus der Ferne und ohne Authentifizierung ausnutzen – für Denial-of-Service-Angriffe oder zum Umgehen der Authentifizierung. Als ausgenutzt gelten sie bislang nicht.
Dass solche Aufrufe ernst zu nehmen sind, zeigt der Verlauf bei zwei anderen Lücken: Im März bat Citrix Administratoren, CVE-2026-3055 und CVE-2026-4368 zu patchen – wenige Tage später begannen Angreifer, sie auszunutzen.
Insgesamt hat die US-Behörde seit November 2021 23 Citrix-Schwachstellen als in der Praxis ausgenutzt markiert. Sieben davon wurden auch von Ransomware-Gruppen missbraucht.