Konkret schilderte Dewhurst die Beobachtung eines Sensornetzes: „Am 3. September erhielt einer unserer NetScaler-Sensoren Anfragen, die zum Proof-of-Concept passten, von drei unterschiedlichen Quell-IP-Adressen mit Geolokalisierung in Australien, den Vereinigten Staaten und Deutschland." Die Einschätzung des Forschers bleibt dabei vorsichtig: Die Daten belegten Ausnutzungsversuche, bestätigten aber keine erfolgreiche Kompromittierung realer Systeme.
Das belgische NCC-BE warnte am Freitag ebenfalls vor Angriffsversuchen gegen CVE-2026-19490 und rief Administratoren dazu auf, das Einspielen der Patches auf allen angreifbaren Citrix-NetScaler-Geräten in den eigenen Netzwerken zu priorisieren.
Wie groß die tatsächliche Angriffsfläche ist, lässt sich nur schwer beziffern. Der Internet-Beobachtungsdienst Shadowserver erfasst mehr als 22.000 online erreichbare NetScaler-ADC-Systeme und knapp 1.700 Gateway-Instanzen. Unklar bleibt allerdings, wie viele davon Honeypots sind, tatsächlich eine anfällige Konfiguration verwenden oder bereits gepatcht wurden.
Das Muster ist für Citrix-Produkte nicht neu. Im März hatte der Hersteller Administratoren zum sofortigen Schließen zweier weiterer NetScaler-Lücken gedrängt — CVE-2026-3055 und CVE-2026-4368. Nur wenige Tage später begannen Angreifer, diese auszunutzen.
Die US-Behörde CISA nahm CVE-2026-3055 eine Woche danach in ihren Katalog der aktiv ausgenutzten Schwachstellen auf und verpflichtete Bundesbehörden, betroffene Citrix-Geräte binnen drei Tagen zu aktualisieren. Seit November 2021 hat die Behörde insgesamt 23 Citrix-Schwachstellen als im Internet ausgenutzt eingestuft; sechs davon wurden auch von Ransomware-Gruppen missbraucht.