Von v17.29 auf v17.43
Am 23.10. kam mit v17.30 PHP2Shell dazu (CTX697263, CVE-2026-109618 und CVE-2026-109619 im Management-Portal), einen Tag nach dem Citrix-Blog „Protecting NetScaler Management Access“ und zwei Tage nach den Analysen von Unit 42 und Zscaler.
Die Fix-Builds hat Citrix erst mit den Patches am Abend des 27.10. veröffentlicht. Unsere Regelstände davor führten für PHP2Shell die Fix-Builds des SAML-Bulletins, Appliances auf 14.1-73.41 bis 73.46 galten dadurch als gepatcht.
Gefixt ist erst 14.1-73.49 (13.1-64.32, FIPS 73.49 bzw. 37.286), bis zum Update hilft die Mitigation per DENY-ACL.
Wer mit einem Regelstand vor 2026-10-28 geprüft hat: bitte neu laufen lassen.
Fix-Builds übernehmen wir jetzt nur noch aus dem CTX-Artikel. Gibt es noch keinen, meldet das Verdict „pending“ und nennt die Mitigation statt eines Ziel-Builds.
Abstürze als Indikator
Der größte Zuwachs betrifft Abstürze. Ein fehlgeschlagener Exploit-Versuch hinterlässt nicht immer einen Logeintrag, aber manchmal einen abgestürzten Prozess:
- Jedes Ereignis ist mindestens Gelb. Rot wird es, wenn es zur offenen Lücke passt (nsaaad mit SAML, httpd bei offenem PHP2Shell, nsppe mit DTLS), sich wiederholt oder eine Anfrage von außen in den 120 Sekunden davor kam
- Als Belege zählen Pitboss- und Kernel-Zeilen, Core-Dateien, Kernel-Panic, Speicherdruck und Neustarts, die niemand ausgelöst hat
Außerdem neu
- Trust-Liste mit Ablaufdatum: Vertraute Adressen gelten bei Management, SSH und Anmeldefehlern als intern und erscheinen in Blau als
[TRUST], ohne Wirkung auf das Verdict. Befunde mit Wirkung bleiben Rot - Allowlist mit SHA-256-Pin je Datei
- Beobachtete Adressen auch anonymisiert, dazu eine Share-Datei für die Weitergabe an uns, ohne Kennung der Appliance
- Fußzeile mit Werkzeug, Version, Regelstand und Quelle in jedem Report
- Die Anonymisierung maskiert jetzt auch Hostnamen aus URLs und Domänen aus der Konfiguration. Wer ältere Reports weitergegeben hat, sollte sie prüfen
Regelstand und Einordnung
Regelstand 2026-10-28e. Die Absturzregeln sind Heuristik, keine Hersteller-Signatur, und OK heißt weiterhin „kein bekanntes Muster getroffen“.
Feedback
Habt ihr Abstürze gesehen, die das Script nicht einordnet? Schickt uns den anonymisierten Report.