NetScaler: 12 Schwachstellen in sieben Wochen

Am 8. Oktober hat Citrix mit CVE-2026-107406 die jüngste kritische NetScaler-Lücke geschlossen. Es ist das vierte Sicherheitsbulletin seit August. Das wirft eine Frage auf, die sich viele VDI-Betreiber stellen: Muss es wirklich ein kompletter Application Delivery Controller wie ein Citrix NetScaler als Zugangspunkt "nur" für veröffentlichte Anwendungen und Desktops sein?

Was seit August passiert ist

Die vier Bulletins decken insgesamt zwölf CVEs ab. Fünf davon liegen bei CVSS 9,3 oder höher: CVE-2026-107406, CVE-2026-88771 und CVE-2026-88772 (je 9,5) sowie CVE-2026-19490 und CVE-2026-88773 (je 9,3). Fünf weitere erreichen 8,8, eine 8,7 und eine 7,0.

Besonders gravierend sind CVE-2026-88771 (Codeausführung ohne Anmeldung, in jeder Konfiguration) und CVE-2026-88772. Beide wurden als Zero-Day ausgenutzt und stehen seit dem 27. September im CISA-Katalog bekannter ausgenutzter Schwachstellen. Auch für CVE-2026-19490 und CVE-2026-88779 wird Ausnutzung berichtet. CVE-2026-107406 betrifft nur Appliances mit SAML-Konfiguration, einen Workaround gibt es nicht, behoben ist sie ab 14.1-73.46 und 13.1-64.29. Wer am 27. September auf 14.1-73.37 gepatcht hat und einen SAML IdP betreibt, musste nach gut einer Woche erneut ran.

Das Problem ist weniger die einzelne Lücke als der Rhythmus, in dem sie auftreten. Das macht den NetScaler zu einem Maintenance Monster. Wer den NetScaler nur als Zugang für VDI oder Terminalserver betreibt, hat damit einen immensen Aufwand für Updates, Tests und im Ernstfall auch Forensik eines echten ADC. Tatsächlich war bei den letzten Lücken neben dem Firmware-Update auch tiefergehende Forensik notwendig, da die Systeme bereits massiv angegriffen wurden, bevor eine aktualisierte Firmware verfügbar war. Für viele unserer Kunden war es einfacher, die NetScaler neu bereitzustellen und zu konfigurieren. Ein nicht unerheblicher Zeitaufwand, der auch zu Ausfällen in der Produktion geführt hat. Hilfe dafür kam übrigens nicht von Citrix. Sie kam aus der Community.

Eine echte Alternative

Ich war 15 Jahre lang Citrix Technology Professional und bin auch seit 5 Jahren Parallels VIPP. Bitte verstehen Sie mich hier nicht falsch, ich sehe Citrix immer noch als Marktführer und die Technologie ist in den meisten großen Unternehmen oft alternativlos. Aber sind wir doch mal ehrlich, der größte Teil der User braucht nur veröffentlichte Applikationen oder einen VDI Desktop. Und viele Admins haben mit dem Betrieb eines NetScalers schon genug zu tun, ohne den Rest der Citrix Infrastruktur.

Wer den NetScaler als vollwertigen ADC einsetzt, mit Load Balancing für viele Anwendungen, Web App Firewall oder Content Switching, braucht ihn auch weiterhin. Dieser Beitrag richtet sich an alle, die ihn nur als Zugang zu ihren Desktops und Anwendungen nutzen.

Parallels RAS braucht für den externen Zugriff zwei Bausteine. Ein Secure Gateway und eine HALB als Load Balancer. Das Secure Gateway ist der einzige Eintrittspunkt für Ihre Anwender. Es lauscht auf Port 443 und verschlüsselt die Verbindung zum Client standardmäßig. Im Forwarding-Modus kann es Verbindungen an ein weiteres Gateway weiterleiten. So lassen sich WAN und LAN trennen. In der aktuellen Version übergibt das Gateway auch die öffentliche IP des Anwenders an die MFA. Damit lassen sich Zugriffsregeln, zum Beispiel nach Standort, durchsetzen. In Citrix Terminologie gesprochen kombiniert das RAS Secure Gateway den Citrix StoreFront und das NetScaler Gateway in einem System. Bildlich gesprochen, technisch ist das so natürlich nicht ganz richtig.

Für Ausfallsicherheit sorgt eine HALB Appliance (High Availability Load Balancing). Sie kommt als vorkonfigurierte virtuelle Appliance für Hyper-V, VMware ESXi, Nutanix AHV und Scale HyperCore und läuft damit auf der Infrastruktur, die Sie ohnehin betreiben. Sie importieren die Appliance, vergeben eine virtuelle IP und richten alles in derselben RAS Console ein wie den Rest Ihrer Umgebung. Auch hier sind zur Ausfallsicherung zwei Appliances empfohlen. Fällt die erste aus, übernimmt die zweite dieselbe virtuelle IP-Adresse. Ihre Anwender verbinden sich kurz neu und landen wieder in ihrer Sitzung.

Der Unterschied zum NetScaler liegt im Anwendungsfall. Ein NetScaler ist ein Allzweck-ADC mit sehr vielen Funktionen, und wie die Bulletins zeigen, hängt jede Lücke an einer anderen davon. Secure Gateway und HALB haben eine klar umrissene Aufgabe, nämlich Anwender sicher zu Ihren Anwendungen und Desktops zu bringen und dabei verfügbar zu bleiben. Nicht mehr und nicht weniger, kein zusätzliches Load Balancing, Content Switching etc. Aus unserer Sicht bedeutet das weniger Konfigurationsvarianten, die Sie bei jedem Bulletin prüfen müssen. Dazu kommt: Alle Parallels Komponenten sind in der Concurrent User Lizenz enthalten, es fallen keine extra Lizenzen an. Was ich darüber hinaus aber viel wichtiger finde: Alles wird aus nur einer einzigen Konsole konfiguriert und verwaltet. Das macht die tägliche Arbeit für den Admin deutlich entspannter.

Aber auch Parallels ist nicht frei von Schwachstellen, zuletzt CVE-2026-18263, eine lokale Rechteausweitung im RAS-Client (CVSS 7,8). Die letzten ohne Anmeldung aus der Ferne ausnutzbaren Lücken im Secure Gateway, die ich gefunden habe, stammen aus 2017 und 2020 (CVE-2017-9447, CVE-2020-35710). Fairerweise muss aber auch gesagt werden, dass das Secure Gateway auf einem Windows Server betrieben wird. Es verwendet zwar keinen IIS, aber sein Windows-System

muss man trotzdem im Griff haben, um dort nicht angreifbar zu sein. Die HALB Appliance dagegen ist ein vorkonfiguriertes System, dessen Komponenten Parallels mit RAS 21 aktualisiert hat.

Proof of Concept zum Festpreis

Natürlich passt Parallels RAS nicht für jeden und manchmal ist tatsächlich Citrix die bessere Wahl. Aber das wissen wir erst, wenn wir es mal verglichen haben. Wir bauen mit Ihnen eine komplette Parallels RAS Farm, mit Secure Gateway und HALB neben Ihrer bestehenden Citrix Umgebung auf und testen mit Ihnen, Ihren Ressourcen und Ihren Pilotusern Ihre realen Anwendungen. Am Ende haben Sie einen direkten Vergleich zu Betrieb, Patch-Aufwand und Funktionsumfang. Danach können wir alles rückstandsfrei wieder entfernen.

Der PoC umfasst:

• Vorabgespräch und Erfassen von Must-Haves und Show Stoppern

• Installation und Konfiguration der Umgebung in Ihrer Infrastruktur oder in der Cloud

• Einbinden und Bereitstellen Ihrer vorbereiteten Test-Workloads

• Unterstützung beim Erstellen von Testcases

• Einweisung der Pilotuser

• Abschlussgespräch und Bewertung nach der Testphase von 30 Tagen

• Parallels Lizenzen inklusive

Festpreis: 4.990 EUR zzgl. MwSt. 

Sie entscheiden auf Basis unseres Vergleichs, wohin die Reise für Sie geht, ohne Risiko. Ob ein Umzug für Ihre Workloads Sinn macht, klären wir in einem ersten Gespräch: https://t13k.de/meetme