Citrix hat am 12.11. 28 Schwachstellen für NetScaler ADC und Gateway veröffentlicht, 9 davon kritisch (CVSS-4.0-Werte von 6,9 bis 9,5). Bekannte Ausnutzung gibt es bisher nicht, einen Workaround auch nicht. netscaler-quickcheck v18.12 prüft das Bulletin und ist im Lab vor und nach dem Upgrade auf 14.1-73.58 gelaufen.
Was der Lauf zu CTX697305 sagt
- Build je Train gegen die Fix-Stände 14.1-73.57, 13.1-64.39, 14.1-FIPS 73.58 und 13.1-FIPS/NDcPP 37.293. Als Ziel nennt das Verdict den veröffentlichten Build, bei 14.1 also 73.58
- CVE-2026-120868 (Paketverarbeitung, 9,3) hat keine Konfigurationsbedingung: Jede Appliance unter dem Fix-Build ist Rot, egal in welcher Rolle
- Die übrigen CVEs nach den Prüfschritten des Bulletins, jede als eigener Befund. Wo wir annehmen müssen, steht es im Regeltext
- CVE-2026-111348 betrifft das Logging:
httperror-Logs von vor dem Upgrade können Anmeldedaten enthalten. Nach dem Upgrade sichern und Sitzungen beenden - Log-Indikatoren gibt es noch keine, die Absturzerkennung deckt die Klasse der Speicherfehler ab
Neu seit v18.0
Seit v18.0 kamen fast täglich Erweiterungen dazu, validiert auf Betreiber-Gateways:
- Cloud-Proxys wie Netskope oder Zscaler: Viele Nutzer hinter einer Adresse gelten nicht mehr als Angreifer, die Prüfungen je Konto greifen weiter
- nFactor: Ein falsches Passwort nach bestandenem erstem Faktor wird als Nutzerfehler erkannt
- Empfehlung je Adresse, von Tippfehler über veraltetes gespeichertes Passwort bis Spraying
- Vergleich mit dem letzten Lauf: neue und erledigte Befunde, je CVE
- Hinweis, wenn die Log-Rotation das Prüffenster nicht abdeckt
- Scanner-Payloads in CSP-Reports der Anmeldeseite, mit der Frage nach einem beauftragten Pentest
- Optional: interaktive Shell-Sitzungen ohne Anmeldung und verdächtige Befehle
- Befund-Codes im JSON für SIEM, deutlich kürzere Laufzeit
Jede Version, die auf einer Appliance lief, ist eingefroren. Die validierten Releases stehen im Repo.
Wer jetzt patcht: vor und nach dem Upgrade laufen lassen. Der Vergleich zeigt, welche CVEs weg sind.
Repository: github.com/ceterion/netscaler-quickcheck
Kontakt: netscaler-integrity@ceterion.com