Seit dem 27. September hat Citrix drei Bulletins für NetScaler ADC und Gateway veröffentlicht, zwei davon betreffen aktiv ausgenutzte Lücken. Wer eine Appliance betreibt, stellt sich seitdem jeden Morgen dieselbe Frage: Ist bei uns etwas passiert?
Unsere Antwort ist ein Shell-Script, das auf der Appliance läuft, nichts verändert und nach wenigen Sekunden sagt, was zu tun ist. Entwickelt hat es Jens Miltenberger aus der Praxis mit NetScaler-Umgebungen. Ab heute auf GitHub, Apache 2.0.
- Build gegen alle drei Bulletins, mit den Bedingungen je CVE (SAML, DTLS, tcpParam)
- Angriffsspuren aus Syslog, Access-, Error- und Auth-Logs, mit Quelle, Netz und einem konkreten „Zu tun“ unter jedem Befund
- Angriffe auf Konten: Password Spraying, Brute Force auf einzelne Konten, Low-and-slow-Versuche. Rot ist dabei genau ein Fall: ein erfolgreicher Login nach einer Fehlserie
- PHP außerhalb der Management-Oberfläche ist Rot, egal unter welchem Namen. Das fängt auch Webshells, die noch niemand veröffentlicht hat
- Blocklist, Allowlist und eigene Indikatoren bleiben beim Betreiber. Der nächste Lauf prüft, ob die Sperre an der Firewall greift
Die Regeldatei nennt für jeden Indikator Quelle, Datum und Fundstelle beim Erstveröffentlicher. Der Stand 2026-10-22b enthält die Beobachtungen von Zscaler ThreatLabz vom 16.10.: Payload-Pfad, Download-Server, die Nx_7508-Webshells in sechs Verzeichnissen und die Quelladressen der Exploit-Welle. Kommt das nächste Bulletin, ändert sich die Regeldatei, nicht das Script.
Eine Grenze sagen wir offen dazu: OK heißt „kein bekanntes Muster getroffen“, nicht „sauber“. Den IoC-Scanner des Herstellers ersetzt das Werkzeug nicht.
Ihr habt Muster gesehen, die noch fehlen? Schickt sie uns per Issue oder Mail.