Swiss KMU Cyber-Alert: Citrix NetScaler – neuer kritischer SAML-Fix erforderlich
Aktualisiert: 11. Okt.
Citrix hat für NetScaler ADC und NetScaler Gateway eine weitere kritische SAML-Schwachstelle veröffentlicht. CVE-2026-107406 kann bei selbst verwalteten Appliances unter bestimmten SAML-Konfigurationen ohne Anmeldung Codeausführung oder einen Dienstausfall ermöglichen; auch Builds, die nach der Warnung Ende September installiert wurden, können noch betroffen sein. Falls Ihr Unternehmen NetScaler nutzt, sollte Ihr IT-Dienstleister die SAML-Konfiguration und den neuen Fixstand jetzt erneut prüfen.
Was ist passiert?
Citrix veröffentlichte am 8. Oktober 2026 das Security Bulletin zu CVE-2026-107406 und aktualisierte es am 9. Oktober. Ein Speicherüberlauf in NetScaler ADC und NetScaler Gateway kann bei passenden SAML-Konfigurationen Remote Code Execution oder einen Dienstausfall ermöglichen. Citrix bewertet die Schwachstelle mit CVSS v4.0 9.5.
Die neue Warnung ist besonders wichtig, weil auch Builds betroffen sein können, die bereits als Reaktion auf die Ende September gemeldeten und aktiv ausgenutzten NetScaler-Lücken installiert wurden. CVE-2026-107406 ist eine zusätzliche Schwachstelle mit neuen Fixständen.
Könnte mein Unternehmen betroffen sein?
Ja, wenn Ihr Unternehmen oder Ihr IT-Dienstleister eine selbst verwaltete NetScaler ADC- oder NetScaler-Gateway-Appliance betreibt und SAML für die Anmeldung verwendet. Das gilt auch für Secure Private Access Hybrid, wenn NetScaler eingesetzt wird.
Von Citrix verwaltete Cloud-Dienste wurden laut Hersteller bereits aktualisiert. Für selbst verwaltete Appliances ist hingegen eine erneute Prüfung nötig. Wenn Ihnen der Produktname nicht bekannt ist, fragen Sie Ihren IT-Dienstleister ausdrücklich nach Citrix NetScaler beziehungsweise dem früheren Namen Citrix ADC.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister kurzfristig, alle selbst verwalteten Citrix-NetScaler-Systeme und deren SAML-Konfiguration zu identifizieren.
Lassen Sie prüfen, ob die installierte Version bereits mindestens 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS oder 13.1-37.283 für FIPS/NDcPP erreicht.
Auch Systeme, die Ende September auf 14.1-73.37 oder 13.1-64.23 aktualisiert wurden, müssen bei SAML-IdP-Konfiguration nochmals kontrolliert und gegebenenfalls aktualisiert werden.
Wie dringend ist es?
Hoch. Die neue Schwachstelle kann unter den genannten Bedingungen ohne gültige Zugangsdaten aus dem Netzwerk zur Codeausführung führen. Citrix meldete bei Veröffentlichung zwar keine bekannten unmitigierten Exploits für CVE-2026-107406; die technische Auswirkung und die neuen Fixstände rechtfertigen dennoch eine zeitnahe Prüfung ausserhalb des normalen Wartungsrhythmus.
Die zuvor behandelte SAML-Schwachstelle CVE-2026-88779 wird weiterhin aktiv ausgenutzt. Der neue Hinweis ersetzt diese Lage nicht, sondern erweitert die erforderliche Prüfung.
Informationen für Ihren IT-Dienstleister
CVE-2026-107406, CVSS v4.0 9.5: Speicherüberlauf mit möglicher Remote Code Execution oder Denial of Service; Netzwerkangriff ohne Benutzerinteraktion, hohe Angriffskomplexität.
Betroffen bei SAML-IdP: NetScaler 14.1-73.37 bis 14.1-73.41 sowie 13.1-64.23 bis 13.1-64.28; entsprechende FIPS-Bereiche 14.1-73.37 bis 14.1-73.41 und 13.1-37.279 bis 13.1-37.282.
Ältere Builds vor diesen Bereichen sind betroffen, wenn NetScaler als SAML SP oder SAML IdP konfiguriert ist.
Fixstände: 14.1-73.46 oder neuer; 13.1-64.29 oder neuer; 14.1-73.46 FIPS oder neuer; 13.1-37.283 FIPS/NDcPP oder neuer.
Konfigurationsprüfung gemäss Citrix: SAML SP über «add authentication samlAction», SAML IdP über «add authentication samlIdPProfile». Nur selbst verwaltete Appliances sind betroffen.
