Im Mai 2026 wurde bekannt, dass es einige Schwachstellen im Citrix Nextscaler ADC gibt. Ich hatte dies Anfang Juni 2026 kurz im Blog-Beitrag Schwachstellen in Citrix Netscaler ADC und Gateway (Mai 2026) aufgegriffen und zügiges Patchen angesagt. Nun wird diese Angelegenheit "etwas dringlich", da es einen öffentlichen PoC gibt.
Im August 2026 hat Watch Towr Labs, gemäß nachfolgendem Tweet vom 17. August 2026, einen öffentlichen Exploit für die Citrix Nextscaler ADC Schwachstelle CVE-2026-8452 auf Github veröffentlicht.
Citrix hatte die Details der Schwachstellen sowie die betreffenden Produktversionen im Sicherheitshinweis NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-8451, CVE-2026-8452, CVE-2026-8655, CVE-2026-10816, CVE-2026-10817, and CVE-2026-13474 aufgeführt. Wer jetzt noch nicht gepatcht hat, bei dem dürften bald Eindringle "anklopfen".
MVP: 2013 – 2016
Die klopfen so oder so an die Netscaler-Tür, egal ob gepatcht oder nicht, hab erst vor 2 Wochen einen massiven Angriff auf die vollständig gepatchten Netscaler in den Logs gesehen, 450 IP-Adressen, verteilt über mehrere Subnetze bei drei Hosting-Providers. Bei dem europäischen Hoster, aus dessen Ranges die meisten Angriffe kamen, gelang mir ein Takedown in Zusammenarbeit mit denen, seit dem ist erstmal wieder Ruhe. Seit wachsam, auch ohne offene/bekannte Sicherheitslücken können solche Angriffe die Leistung des Gatways in die Knie zwingen.
Da hat Citrix aber mal einen großen Bock geschossen … autsch. Mein Eindruck von dem ADC ist mittlerweile auch, dass es eher einer Bastelbude gleicht und viel zu vieles können möchte, dafür dann aber auch nichts richtig. Da setze ich lieber auf Tools, die für genau ein Anwendungszweck gebaut wurden und das auch gut beherrschen.
Bei den Netscalers muss man wissen, was man tut. Man schaltet genau die Funktion frei, die man nutzen will, und nicht mehr. Und wenn man dann bei den Updates auf Zack ist, ist man eigentlich auf der sicheren Seite.
Aus meiner Sicht sollte man das etwas differenzierter betrachten. Der NetScaler ADC hat sich über die Jahre von einem klassischen Application Delivery Controller zu einer sehr umfangreichen Plattform entwickelt. Er übernimmt heute unter anderem Aufgaben als Load Balancer, Reverse Proxy, VPN-Gateway und teilweise auch im Bereich Identity und Access Management. Je nach Einsatzszenario werden darüber hinaus Funktionen genutzt, die bereits in Richtung Web Application Firewall beziehungsweise Security Gateway gehen.
Genau diese Funktionsvielfalt sehe ich allerdings kritisch. Mit zunehmendem Funktionsumfang steigen zwangsläufig auch die Komplexität der Konfiguration, die Abhängigkeiten zwischen einzelnen Features und letztlich die betriebliche Komplexität. Gerade bei einer zentralen Infrastrukturkomponente bevorzuge ich daher Lösungen, die sich auf einen klar definierten Aufgabenbereich konzentrieren und diesen dafür möglichst robust, transparent und flexibel abbilden.
Hinzu kommt, dass meine Erfahrungen mit dem Citrix-Support bei komplexeren NetScaler-Konfigurationen durchaus unterschiedlich ausgefallen sind. Bei speziellen Szenarien entsteht teilweise der Eindruck, dass selbst auf Herstellerseite nicht immer unmittelbar klar ist, wie bestimmte Funktionen miteinander interagieren oder wie ein konkretes Verhalten sauber zu konfigurieren beziehungsweise zu analysieren ist.
Besonders kritisch sehe ich zudem die vergleichsweise hohe Frequenz sicherheitsrelevanter Updates und teilweise kurzfristig notwendiger Emergency Patches. Bei einem System, das häufig als zentrales Internet-Gateway oder als kritischer Bestandteil der Remote-Access-Infrastruktur eingesetzt wird, ist das aus meiner Sicht betrieblich problematisch. Eine solche Komponente sollte möglichst überschaubar, stabil und mit einem klar beherrschbaren Security- und Lifecycle-Management betrieben werden können.
Kurz gesagt: Ich bevorzuge bei kritischer Netzwerkinfrastruktur eher spezialisierte Komponenten mit klar abgegrenzter Funktionalität gegenüber einer Plattform, die versucht, möglichst viele unterschiedliche Rollen gleichzeitig abzudecken.