Die Sicherheitslücke CVE-2026-19490 in Citrix NetScaler wird nach Angaben der US-Cybersicherheitsbehörde CISA in Angriffen ausgenutzt. Die Behörde veröffentlichte ihre Warnung am Mittwoch und nahm die Schwachstelle zugleich in den Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf.
Der Fehler erlaubt es, die Authentifizierung zu umgehen, und ist mit einem CVSS-Wert von 9.3 als kritisch eingestuft. Verwundbar sind alle Appliances von NetScaler ADC und NetScaler Gateway, die als Gateway – in den Betriebsarten SSL-VPN, ICA-Proxy, CVPN oder RDP-Proxy – oder als virtueller AAA-Server konfiguriert sind. Es handelt sich damit um Systeme, die typischerweise am Netzwerkrand stehen und den Zugang zu internen Umgebungen vermitteln.
Citrix hatte den Fehler am 19. August geschlossen. Zeitgleich warnte das Sicherheitsunternehmen Rapid7 davor, dass sich die Schwachstelle aus der Ferne und ohne Authentifizierung ausnutzen lässt. Rapid7 rechnete angesichts der Verbreitung von NetScaler-Installationen in Unternehmensumgebungen damit, dass Angreifer die Lücke schnell aufgreifen würden. „Organisationen sollten das Patchen betroffener Systeme als Notfall priorisieren, da Citrix-Produkte hochwertige Ziele sind, die in der Regel rasch in freier Wildbahn angegriffen werden“, erklärte das Unternehmen.
Diese Einschätzung hat sich bestätigt. Ryan Dewhurst, Gründer von Previdian und früherer Leiter der Bedrohungsanalyse bei WatchTowr, hatte rund eine Woche vor der CISA-Warnung darauf hingewiesen, dass Angreifer begonnen hätten, die Lücke auszunutzen. „Ein nicht verifizierter, aber glaubwürdiger Proof-of-Concept ist gestern aufgetaucht. Heute haben drei IP-Adressen aus drei Ländern passende Anfragen an unseren Sensor geschickt“, so Dewhurst.
Nach Daten von Previdian laufen die Angriffe mindestens seit dem 3. September. Einen Tag zuvor war auf GitHub ein Exploit für CVE-2026-19490 veröffentlicht worden – der Abstand zwischen öffentlich verfügbarem Angriffscode und den ersten beobachteten Ausnutzungsversuchen betrug damit lediglich 24 Stunden.
Mit der Aufnahme in den KEV-Katalog gilt für US-Bundesbehörden eine verkürzte Frist: Sie müssen die Schwachstelle gemäß den Vorgaben der Direktive BOD 26-04 innerhalb von drei Tagen beheben. Zu Umfang, Zielen oder Urhebern der beobachteten Angriffe machte die CISA keine Angaben.