Vorfall-Lagebild: Citrix NetScaler – zwei Zero-Days aktiv ausgenutzt

Von Max Gilg · 02.10.2026 · 11 Min. Lesezeit

Vorfall-Lagebild · Nach 14 Tagen · Stand 11.10.2026 12:10 – Prozent = Einschätzung: 100 % bestätigt, 0 % sicher falsch.

Wissensstand: Wissen 49 % · wahrscheinlich 27 % · nicht bekannt 24 %

Citrix hat am 27.09.2026 mit dem Bulletin CTX697096 acht Schwachstellen in NetScaler ADC und Gateway geschlossen. Zwei davon erlauben Remote Code Execution ohne Anmeldung und wurden schon Wochen vorher als Zero-Days ausgenutzt: laut Mandiant/GTIG zuerst gezielt von mutmaßlich staatsnahen Akteuren, nach dem öffentlichen Proof-of-Concept dann massenhaft. Seitdem kamen zwei weitere Lücken hinzu. CVE-2026-88779 wurde ausgenutzt und steht seit 04.10. im KEV-Katalog. Für die kritische SAML-Lücke CVE-2026-107406 gibt es seit 08./09.10. einen Patch (widersprüchlich: A 08.10. / B 09.10.), eine Ausnutzung ist bisher nicht bekannt. In Deutschland haben vor allem kommunale IT-Dienstleister vorsorglich abgeschaltet. Einen Einbruch bei einem Versorger in DACH oder eine Störung der Versorgung hat nach unserer Recherche (Stand 11.10.) bisher niemand öffentlich belegt.

1. Was ist passiert, und warum?

• Wissen: Citrix hat am 27.09.2026 das Bulletin CTX697096 zu CVE-2026-88771 bis -88778 in NetScaler ADC und Gateway veröffentlicht. CVE-2026-88771 und -88772 wurden vor dem Patch als Zero-Days ausgenutzt, beide haben CVSS v4.0 9.5. (100 %) – Quelle
• Wissen: CVE-2026-88771 beruht auf unzureichender Input-Validierung und erlaubt Codeausführung ohne Anmeldung, auch in Standardkonfiguration. CVE-2026-88772 ist ein Speicherüberlauf und setzt DTLS voraus, das auf VPN-Virtual-Servern standardmäßig aktiv ist. (100 %) – Quelle
• Wissen: Unit 42 sah ab 21.08.2026 Fingerprinting-Anfragen, ab 04.09. Webshell-Aktivität über DTLS (CVE-2026-88772) und am 21.09. eine Webshell über CVE-2026-88771 bei einem Ziel in den USA. GTIG datiert die Aktivität auf mindestens 03.09. (100 %) – Quelle
• Wissen: CISA bestätigt weltweite aktive Ausnutzung. CVE-2026-88771 und -88772 kamen am 27.09. in den KEV-Katalog, CVE-2026-88779 am 04.10. Am 09.10. hat CISA den Alert um CVE-2026-107406 ergänzt. (100 %) – Quelle
• Wissen: CVE-2026-88779 (CVSS v4.0 8.7) betrifft SAML-Konfigurationen und erlaubt Denial of Service. Laut CISA lässt sich damit ein Neustart erzwingen, der zuvor über CVE-2026-88771 eingeschleusten Code ausführen kann. (100 %) – Quelle
• Wissen: CVE-2026-107406 (CVSS v4.0 9.5) ist ein Speicherüberlauf bei SAML-SP/IdP-Konfiguration. Citrix waren bei der Veröffentlichung keine Angriffe bekannt (Datum widersprüchlich: A 08.10. / B Patch am 09.10.). (100 %) – Quelle
• Wissen: Mandiant-CTO Carmakal ordnet die ersten gezielten Angriffe mutmaßlich staatsnahen Akteuren zu, eine bekannte Gruppe nennt er nicht. Nach dem öffentlichen PoC von watchTowr für CVE-2026-88771 begann eine massenhafte opportunistische Ausnutzung. (100 %) – Quelle
• Nicht bekannt: Welcher Threat Actor hinter der ersten, gezielten Welle steckt. Keine Quelle nennt eine Gruppe.
• Nicht bekannt: Wie die Angreifer die Lücken vor Citrix kannten (eigene Forschung oder Ankauf).
• Nicht bekannt: Ob Betreiber in DACH zu den gezielten Opfern gehören.
• Nicht bekannt: Ob CVE-2026-107406 inzwischen ausgenutzt wird.
• Einschätzung: Ziel der ersten Welle waren Spionage und Zugänge, also Zugangsdaten und Zugang zu internen Netzen, nicht Sabotage. (70 %) – Mandiant/GTIG sprechen von staatsnahen Akteuren, eingesetzt wurde ein Tunneling-Tool, und Beaumont schätzt es ebenso ein. Die Opferbranchen sind Behörden, Finanzwesen und Telekommunikation. Das Motiv ist nicht belegt (A und B übereinstimmend).
• Einschätzung: Mehrere Akteure nutzen die Lücken inzwischen parallel aus, darunter auch kriminelle. (75 %) – Es gibt einen öffentlichen PoC, Lupovis sah Ausnutzungsversuche schon Minuten danach, und Unit 42 meldet breite Scans nach dem 27.09. (B).
• Einschätzung: Edge Devices wie NetScaler bleiben ein bevorzugtes Ziel, weil sie direkt am Internet hängen und oft kein EDR haben. (85 %) – Das zeigen die wiederholten NetScaler-Wellen 2019, 2023 und 2026 und das allgemeine Lagebild zu Edge Devices (A).

2. Was ist die Auswirkung?

• Wissen: Laut GTIG/Mandiant verschafft die DTLS-Lücke Root-Rechte. Danach legten die Angreifer Webshells ab und setzten das TCP-Tunneling-Tool SLAPSHOT ein, das Verkehr ins interne Netz weiterleitet. (100 %) – Quelle
• Wissen: Rapid7 beobachtete, dass Angreifer die Gerätekonfiguration abgriffen: ns.conf mit verschlüsselten Admin- und LDAP/RADIUS-Passwörtern, SSL-Private-Keys und SSH-Host-Keys. Rapid7 kennt zwei kompromittierte Organisationen. (100 %) – Quelle
• Wissen: Mandiant/GTIG kennt Dutzende betroffene Organisationen in Nordamerika und Europa aus Regierung, Finanzdienstleistung, Bildung, Telekommunikation sowie Rechts- und Beratungsbranche. (100 %) – Quelle
• Wissen: Arctic Wolf meldet mindestens 78 angegriffene Organisationen in den USA, Kanada und Europa, unter anderem aus Energie, Gesundheit, Finanzwesen und Kommunen. (100 %) – Quelle
• Wissen: Der Sicherheitsforscher Kevin Beaumont verfolgt nach eigenen Angaben über 100 Opferorganisationen (Stand 29.09.). (100 %) – Quelle
• Wissen: In Rheinland-Pfalz haben die ZIDKOR-Rechenzentren (Mainz/Koblenz) am 27.09. vorsorglich zentrale Systeme abgeschaltet. Bei 194 Verwaltungen fielen Meldewesen, Kfz-Zulassung und Standesämter aus, am 29.09. lief alles wieder. Die Forensik fand keine Hinweise auf unbefugte Zugriffe. (100 %) – Quelle
• Wissen: Potsdam und der LVR haben Dienste vorsorglich vom Netz genommen. Die Südwestfalen-IT soll NetScaler am 27.09. abgeschaltet haben (Leserangabe, nicht verifiziert). (100 %) – Quelle
• Nicht bekannt: Ob Energieversorger oder Stadtwerke in DACH kompromittiert wurden.
• Nicht bekannt: Ob es von einem kompromittierten NetScaler aus Zugriff auf OT oder Leittechnik gab.
• Nicht bekannt: Welche Daten konkret abgeflossen sind und wie viele Opfer es in Deutschland gibt.
• Nicht bekannt: Ob gestohlene Zugänge schon weiterverkauft wurden.
• Einschätzung: Die Ausfälle in Deutschland gehen bisher vor allem auf vorsorgliche Abschaltungen zurück, nicht auf nachgewiesene Einbrüche. Einen Versorgungsausfall gab es nicht. (78 %) – Die ZIDKOR-Forensik fand keine unbefugten Zugriffe, und der LVR nennt den Angriff abgewehrt. Gegenbelege fehlen. Mittelwert aus A 75 und B 80.
• Einschätzung: Abgegriffene Zugangsdaten und Zertifikate werden auch nach dem Patch noch Wochen bis Monate für Folgeangriffe genutzt. (65 %) – Mandiant und Rapid7 belegen den Diebstahl von Konfigurationen und Zugangsdaten, und laut Mandiant beseitigt Patchen dieses Risiko nicht. Bei CitrixBleed 2023 folgte Ransomware. Für 2026 fehlt ein Beleg (A 60 / B 70).
• Einschätzung: Unter den Kompromittierten sind auch Betreiber aus der Energiewirtschaft in DACH. (25 %) – Dafür gibt es keinen öffentlichen Beleg. Die Branche nutzt solche Gateways aber, weltweit gibt es über 100 Opfer, und Arctic Wolf nennt die Energiebranche allgemein.

3. Wie lange dauert es digital (Wiederherstellung IT)?

• Wissen: Gegen CVE-2026-107406 bei SAML-Konfiguration sind 14.1-73.46 bzw. 13.1-64.29 nötig, für FIPS/NDcPP 13.1-37.283. Die Stände der ersten Patch-Runde vom 27.09. (14.1-73.37, 13.1-64.23) reichen dafür nicht. (100 %) – Quelle
• Wissen: Gegen CVE-2026-88779 ist mindestens 14.1-73.41 bzw. 13.1-64.28 nötig. (100 %) – Quelle
• Wissen: CISA rät, vor dem Patchen auf IOCs zu prüfen, forensische Spuren zu sichern, Logs zentral zu speichern, bei Kompromittierung ein sauberes Backup einzuspielen und alle Passwörter, Schlüssel und Zertifikate zu rotieren. Für US-Bundesbehörden galt eine Frist bis 30.09. (100 %) – Quelle
• Wissen: Mandiant (Carmakal): Ein Upgrade allein entfernt weder bestehende Zugänge noch gestohlene Zugangsdaten. (100 %) – Quelle
• Wissen: Laut BSI-Hinweis (Version 1.1 vom 01.10.) können Webshells und Konfigurationsänderungen nach dem Patch aktiv bleiben. Logs sollen mindestens ab Anfang September geprüft werden. Das ist nur über eine Sekundärquelle wiedergegeben, A hat keine BSI-Originalquelle gefunden. (100 %) – Quelle
• Wissen: In Rheinland-Pfalz liefen die Fachverfahren nach rund zwei Tagen (29.09.) wieder. (100 %) – Quelle
• Nicht bekannt: Wie lange die Bereinigung bei tatsächlich kompromittierten Organisationen dauert.
• Nicht bekannt: Wie viele Betreiber nach dem Patch eine vollständige Prüfung auf Kompromittierung gemacht haben.
• Nicht bekannt: Wie viele Systeme in DACH inzwischen gepatcht sind.
• Einschätzung: Ohne Kompromittierung reicht ein Wartungsfenster von Stunden bis wenigen Tagen. (75 %) – Ein Leser auf Borncity berichtet von einem Patch in 30 Minuten, und ZIDKOR lief nach rund zwei Tagen wieder.
• Einschätzung: Bei echter Kompromittierung dauert die Bereinigung mehrere Wochen. (65 %) – Dazu gehören Forensik, Neuaufsetzen, das Rotieren aller Zugangsdaten und Zertifikate und die Prüfung nachgelagerter Systeme, wie CISA und Mandiant empfehlen. Das deckt sich mit Erfahrungen aus 2023.
• Einschätzung: Drei Patch-Runden in zwei Wochen (27.09., 03./04.10., 09.10.) führen bei manchen Betreibern zu Lücken beim Patchstand. (60 %) – Die Folge-Lücken betreffen auch bereits gepatchte Geräte, und laut Beaumont waren anfangs weniger als 10 % gepatcht. Es gibt keine aktuelle Zählung (B 65, leicht gesenkt).
• Einschätzung: Viele Betreiber patchen, ohne alle Zugangsdaten und Zertifikate zu rotieren. (45 %) – Bei früheren NetScaler-Wellen blieben viele Systeme trotz Patch kompromittiert (Erfahrungswert, hier nicht eigens belegt). Für 2026 fehlen Zahlen.

4. Ist in der Anlage etwas kaputt, das lange dauert?

• Wissen: Die Lücken betreffen das NetScaler-Gateway, also ein Edge-Gerät der IT für Remote Access, keine Steuerungstechnik. (100 %) – Quelle
• Wissen: Dokumentiert sind Schäden am Gateway selbst (Root-Zugriff, Webshells, gestohlene Konfiguration) und Tunneling ins interne Netz. Ein Eingriff in physische Prozesse ist nicht dokumentiert. (100 %) – Quelle
• Wissen: CVE-2026-88772 und CVE-2026-88779 können auch zu Denial of Service führen, also zum Ausfall des Gateways. (100 %) – Quelle
• Wissen: Die Störungen in Deutschland betrafen Verwaltungsdienste, keine Versorgungsanlagen. (100 %) – Quelle
• Nicht bekannt: Ob irgendwo ein NetScaler als Fernwartungszugang in OT-Netze führte und missbraucht wurde.
• Nicht bekannt: Ob Angreifer über NetScaler bis in Leittechnik vorgedrungen sind.
• Einschätzung: Durch diese Kampagne ist bisher keine Anlage physisch beschädigt worden. (85 %) – Weder Behörden noch Hersteller oder Medien berichten davon, und das Muster deutet auf Spionage und Zugangsdiebstahl hin (A und B übereinstimmend).
• Einschätzung: Wo Betreiber das Gateway vorsorglich abgeschaltet haben, war die Fernwartung vorübergehend nicht nutzbar, und Störungsbehebungen dauerten länger, weil Techniker vor Ort fahren mussten. (50 %) – NetScaler dient oft als Fernwartungszugang, und Abschaltungen sind bei Kommunen belegt. Für Versorger ist das in diesem Fall nicht dokumentiert (A 60 / B 55, zusammengelegt und gesenkt).
• Einschätzung: Die Angreifer haben gezielt Steuerungen manipuliert. (8 %) – Dafür gibt es keinerlei Hinweise, und die beobachteten Werkzeuge zielen auf IT-Zugang und Datendiebstahl.

5. Wie viele solcher Ziele gibt es?

• Wissen: Censys zählt rund 42.000 aus dem Internet erreichbare NetScaler-Hosts, davon 5.678 (13 %) in Deutschland und je etwa 4 % in den Niederlanden, Großbritannien und der Schweiz. (100 %) – Quelle
• Wissen: Shadowserver zählte am 28.09. über 23.000 IP-Adressen mit NetScaler-Fingerprint im Internet, darunter fast 22.000 ADC und gut 1.500 Gateway. Wie viele davon gepatcht oder verwundbar sind, ist offen; Zahlen für Deutschland nennt die Quelle nicht. (100 %) – Quelle
• Wissen: Palo Alto Cortex Xpanse zählte am 27.09. 50.277 potenziell verwundbare exponierte Instanzen. (100 %) – Quelle
• Wissen: Laut Kevin Beaumont waren Ende September weniger als 10 % der erreichbaren Hosts gepatcht. (100 %) – Quelle
• Wissen: Shodan (aggregiert): OT-Protokolle öffentlich erreichbar in Deutschland: 143840 gesamt (DNP3 33351, OMRON FINS 23902, ProConOS 16358, EtherNet/IP 15711, Siemens S7 8359, OPC UA 5669) (100 %)
• Nicht bekannt: Wie viele davon zu Stadtwerken, Versorgern oder Industrie in DACH gehören.
• Nicht bekannt: Wie viele heute noch ungepatcht sind, vor allem in Deutschland.
• Einschätzung: Deutschland gehört weltweit zu den Ländern mit den meisten exponierten NetScalern (Platz 2 nach den USA). (90 %) – Censys und Shadowserver zählen unterschiedlich, setzen Deutschland aber beide weit vorn bzw. auf Platz 2.
• Einschätzung: Inzwischen ist die Mehrheit der erreichbaren Systeme in Deutschland gepatcht, aber nicht alle. (55 %) – Der Druck durch Behörden und Medien war hoch, bei früheren Wellen blieb aber ein Rest über Wochen ungepatcht. Aktuelle Zahlen fehlen.

6. Kann das wieder passieren?

• Wissen: Innerhalb von zwei Wochen folgten zwei weitere kritische NetScaler-Lücken: CVE-2026-88779 (ausgenutzt, KEV 04.10.) und CVE-2026-107406. (100 %) – Quelle
• Wissen: Schon im März 2026 hat das BSI vor NetScaler-Lücken gewarnt (CVE-2026-3055, CVE-2026-4368); wenige Tage nach der Veröffentlichung wurden erste Angriffsversuche beobachtet. (100 %) – Quelle
• Wissen: Bei CVE-2023-3519 fand Fox-IT 1.828 kompromittierte NetScaler-Server, 1.248 davon waren bereits gepatcht. (100 %) – Quelle
• Wissen: Die Versionen 12.1 und 13.0 sind End of Life und vermutlich verwundbar. (100 %) – Quelle
• Wissen: Version 13.1 hat laut Blogspan am 15.09.2026 das Ende der Wartung erreicht. (100 %) – Quelle
• Nicht bekannt: Ob die Angreifer weitere, noch unbekannte Lücken in NetScaler kennen.
• Einschätzung: In den nächsten zwölf Monaten wird erneut eine kritische Lücke in einem verbreiteten Edge Device (VPN/Gateway, beliebiger Hersteller) als Zero-Day ausgenutzt. (90 %) – Das Muster wiederholt sich seit Jahren bei Citrix (2019, 2023, 2026) und anderen Herstellern, und 2026 gab es allein bei NetScaler mehrere Fälle.
• Einschätzung: In den nächsten zwölf Monaten wird speziell bei NetScaler erneut eine Lücke aktiv ausgenutzt. (80 %) – So war es 2019, 2023 und März 2026, und seit dem 27.09. kamen zwei Nachfolge-Lücken.
• Einschätzung: Mit Zugangsdaten aus dieser Welle wird es Folgeangriffe geben. (60 %) – Der Diebstahl von Konfigurationen ist belegt, ihre Nutzung nicht.

Früherer Stand: Nach 24 Stunden (02.10.2026 23:06)

Wissen 52 % · nicht bekannt 29 %

Citrix hat am 27.09.2026 acht Schwachstellen in NetScaler ADC und Gateway veröffentlicht (CVE-2026-88771 bis -88778). Zwei davon erlauben Remote Code Execution ohne Anmeldung (CVSS v4.0 9.5) und wurden schon Wochen vorher als Zero-Day ausgenutzt, laut Mandiant zuerst von mutmaßlich staatsnahen Akteuren mit Spionageziel und seit dem öffentlichen Proof of Concept auch massenhaft. In Deutschland gibt es bisher vor allem Ausfälle durch vorsorgliche Abschaltungen (Kommunen in Rheinland-Pfalz und NRW); ein Einbruch bei einem DACH-Versorger ist öffentlich nicht belegt.

Früherer Stand: Erstmeldung (02.10.2026 22:49)

Wissen 52 % · nicht bekannt 29 %

Citrix hat am 27.09.2026 im Advisory CTX697096 acht Schwachstellen in NetScaler ADC und Gateway veröffentlicht. Zwei davon (CVSS v4.0 9.5) erlauben Remote Code Execution ohne Anmeldung und wurden schon Wochen vorher als Zero-Day ausgenutzt (widersprüchlich: A ab 03./04.09. / B ab 04.09. laut Unit 42 bzw. ab 05.09. laut eSentire/BSI). CISA, BSI, CERT-EU und NCSC-NL warnen, in Deutschland haben kommunale IT-Dienstleister vorsorglich abgeschaltet, eine Kompromittierung von Stadtwerken oder Versorgern in DACH ist öffentlich aber nicht belegt.

Vergleichsfälle

• Citrix NetScaler CVE-2023-3519 (2023): Fox-IT fand 1.828 kompromittierte Server, davon 1.248 bereits gepatcht. Patchen ohne Prüfung auf Kompromittierung reicht nicht. – Quelle
• CitrixBleed (2023): Gestohlene Sessions und Zugangsdaten wurden nach dem Patch für Ransomware-Angriffe genutzt.
• Citrix CVE-2019-19781 (2019): Schon damals wurde ein Remote-Access-Gateway massenhaft ausgenutzt. Das Muster wiederholt sich.
• NetScaler CVE-2026-3055 (BSI-Warnung) (2026): Schon im März 2026 warnte das BSI vor NetScaler-Lücken, wenige Tage später gab es erste Angriffsversuche. Edge Devices sind ein Dauerziel. – Quelle

Quellen

• https://www.cisa.gov/news-events/alerts/2026/09/27/critical-zero-day-vulnerabilities-exploited-citrix-netscaler-adc-gateway
• https://unit42.paloaltonetworks.com/netscaler-zero-days-exploited/
• https://www.heise.de/news/Citrix-legt-weiteres-Sicherheitsupdate-gegen-kritische-Netscaler-Luecke-nach-11481808.html
• https://helpnetsecurity.com/2026/09/29/netscaler-zero-day-exploitation-escalates-into-mass-attacks-cve-2026-88771
• https://www.helpnetsecurity.com/2026/09/30/cve-2026-88772-netscaler-exploitation-zero-day/
• https://rapid7.com/blog/post/etr-zero-day-exploitation-of-citrix-netscaler-adc-and-gateway-cve-2026-88771-and-cve-2026-88772
• https://www.cybersecuritydive.com/news/exploitation-citrix-netscaler-what-we-know/831780/
• https://kommunaler-notbetrieb.de/2026/09/28/zweckverband-fuer-informationstechnologie-und-datenverarbeitung-der-kommunen-in-rheinland-pfalz-zidkor/
• https://borncity.com/blog/2026/09/28/rheinland-pfalz-landesweite-software-stoerung-citrix-problem-die-ursache/
• https://s-edv.com/news/citrix-netscaler-cve-2026-107406-saml
• https://aegysdata.com/insights/citrix-netscaler-kompromittierung-pruefen
• https://fieldeffect.com/blog/citrix-patches-another-exploited-netscaler-vulnerability
• https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-exploited-citrix-flaws-by-wednesday/
• https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-238088-1032.html
• https://www.helpnetsecurity.com/2023/08/16/netscaler-cve-2023-3519-webshells/
• https://digital.nhs.uk/cyber-alerts/2026/cc-4865
• https://www.blogspan.net/netscaler-citrix-acht-luecken-cve-88771/

Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder.

Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene.

← Alle Artikel