Citrix hat am 12.11. 28 Schwachstellen für NetScaler ADC und Gateway veröffentlicht, 9 davon kritisch (CVSS-4.0-Werte von 6,9 bis 9,5). Bekannte Ausnutzung gibt es bisher nicht, einen Workaround auch nicht. netscaler-quickcheck v18.12 prüft das Bulletin und ist im Lab vor und nach dem Upgrade auf 14.1-73.58 gelaufen.

NetScaler-Gateways stehen nicht nur im deutschsprachigen Raum, und Reports werden oft an Teams weitergegeben, die kein Deutsch lesen. Seit v18.0 liegen deshalb alle Texte in einem Nachrichtenkatalog neben dem Script, auf Deutsch und auf Englisch. Deutsch bleibt Standard, --lang en oder LANG_QC=en in der Konfiguration schaltet um. Eine weitere Sprache ist eine weitere Datei mit denselben Schlüsseln.

Von v17.29 auf v17.43

Am 23.10. kam mit v17.30 PHP2Shell dazu (CTX697263, CVE-2026-109618 und CVE-2026-109619 im Management-Portal), einen Tag nach dem Citrix-Blog „Protecting NetScaler Management Access“ und zwei Tage nach den Analysen von Unit 42 und Zscaler.

Die Fix-Builds hat Citrix erst mit den Patches am Abend des 27.10. veröffentlicht. Unsere Regelstände davor führten für PHP2Shell die Fix-Builds des SAML-Bulletins, Appliances auf 14.1-73.41 bis 73.46 galten dadurch als gepatcht.

Gefixt ist erst 14.1-73.49 (13.1-64.32, FIPS 73.49 bzw. 37.286), bis zum Update hilft die Mitigation per DENY-ACL.

Wer mit einem Regelstand vor 2026-10-28 geprüft hat: bitte neu laufen lassen.

Fix-Builds übernehmen wir jetzt nur noch aus dem CTX-Artikel. Gibt es noch keinen, meldet das Verdict „pending“ und nennt die Mitigation statt eines Ziel-Builds.

Citrix hat am 22.10. das nächste Bulletin veröffentlicht: CVE-2026-109618 und CVE-2026-109619, zwei PHP-Lücken im Management Portal, CVSS 4.0 9.2. Betroffen ist alles, worüber die Verwaltungsoberfläche erreichbar ist: NSIP, SNIPs mit Management Access und die Cluster IP. Einen Tag nach dem ersten Release prüft netscaler-quickcheck auch das.