NetScaler ADC und Gateway: September- und Oktober-Korrekturen vor der Wiederherstellung unterscheiden

Worum es geht

Stand: 25. Oktober 2026. Dieser Vergleich verwendet die Revision von CTX697096 vom 27. September 2026 und die Revision von CTX697174 vom 3. Oktober 2026. Vor dem Handeln beide Bulletins, unterstützte Upgrade-Pfade und die aktuelle Logik zur Indikatorerkennung erneut prüfen.

Citrix bestätigt die Ausnutzung von CVE-2026-88771, einer Schwachstelle zur Befehlsausführung ohne Authentifizierung, die keine aktivierte Zusatzfunktion voraussetzt, sowie von CVE-2026-88772, einem Speicherüberlauf bei Deployments mit aktiviertem DTLS. DTLS ist auf virtuellen VPN-Servern standardmässig aktiviert. Davon getrennt betrifft CVE-2026-88779 eine Dienstverweigerung bei Appliances, die als SAML Service Provider oder Identity Provider konfiguriert sind; CISA nahm sie am 4. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen auf. September-Bulletin, Oktober-Bulletin.

Warum es wichtig ist

Die beiden Bulletins verlangen unterschiedliche Mindest-Patchstände. Ein Deployment kann die Anforderungen des früheren Bulletins erfüllen und dennoch von der späteren SAML-Schwachstelle betroffen sein. Beide beziehen sich auf vom Kunden verwaltete Appliances; seine verwalteten Cloud-Dienste betreut der Hersteller selbst. Die Prüfung der aktivierten Funktionen klärt die Betroffenheit, während die Untersuchung einer möglichen Kompromittierung bestimmt, ob die Wiederherstellung über ein Upgrade hinausgehen muss.

So wird es angewendet

• Den laufenden Build jedes Knotens erfassen und seine Konfiguration prüfen, gegebenenfalls mit show ns runningConfig. DTLS-Einstellungen und die Konfiguration als SAML Service Provider oder Identity Provider prüfen. Nicht davon ausgehen, dass das Deaktivieren von DTLS die Gefährdung durch die Schwachstelle beseitigt, die keine bestimmte aktivierte Funktion voraussetzt.
• Die installierte Versionslinie der Tabelle korrigierter Builds des Herstellers zuordnen. Versionen unterhalb des jeweils aufgeführten Grenzwerts sind innerhalb dieser Linie betroffen, sofern die jeweiligen Funktionsvoraussetzungen erfüllt sind. Das passende korrigierte Release oder ein späteres unterstütztes Release derselben Linie verwenden.

Versionslinie	Korrektur für CVE-2026-88771/88772	Korrektur für CVE-2026-88779
ADC/Gateway 14.1	14.1-73.37	14.1-73.41
ADC/Gateway 13.1	13.1-64.23	13.1-64.28
ADC 14.1-FIPS	14.1-73.37 FIPS	14.1-73.41 FIPS
ADC 13.1-FIPS/NDcPP	13.1-37.279	13.1-37.282

Das frühere Bulletin schreibt den letzten Build auch als 13.1.37.279; die Paketbenennung im Download-Portal bestätigen. Build-Tabellen, SAML-Build-Tabelle.

• Vor der Wiederherstellung Konfiguration, Logs, Zeiteinstellungen und ein Support-Bundle sichern; eine etwaige Speicheraufzeichnung mit dem Vorfallsreaktionsteam abstimmen, da der dokumentierte Packet-Engine-Dump einen Warmstart auslöst. Bei Verdacht auf eine Kompromittierung die Appliance isolieren und verbundene Authentifizierungs- und Verwaltungssysteme untersuchen. Wiederherstellungsverfahren.
• Den verfügbaren Scan in NetScaler Console unter Security Advisory ausführen und dabei die Telemetrievoraussetzung erfüllen. Ergebnisse mit Potentially Compromised untersuchen. Failed to Execute und Skipped sind keine negativen Befunde. Scan-Verlauf und Revision der Erkennungslogik aufbewahren; der Hersteller warnt, dass Indikatoren nicht jede Kompromittierung erkennen können. Console-Dokumentation.
• Die Beendigung von Sitzungen als Entscheidung zur Vorfallseindämmung behandeln, die nach der Beweissicherung und den Upgrades auf allen Knoten getroffen wird. kill aaa session -all trennt aktive AAA-TM/VPN-Sitzungen; show aaa session zeigt Verbindungen für die anschliessende Prüfung an. Die Unterbrechung für Benutzer abstimmen und andere Sitzungstypen separat behandeln. Diese Befehle sind in den beiden Bulletins keine allgemeingültige Anforderung nach einem Upgrade. Befehlsreferenz.
• Bei Verdacht auf eine Kompromittierung das plattformspezifische Verfahren zum vollständigen Löschen oder Ersetzen befolgen, korrigierte Firmware installieren und eine geprüfte Konfiguration aus der Zeit vor der Kompromittierung wiederherstellen. Gefährdete Dienstgeheimnisse, Benutzerzugangsdaten und Zertifikate ersetzen, anschliessend wiederhergestellte lokale Passwörter und Schlüssel zur Schlüsselverschlüsselung austauschen. Konfiguration und Verwaltungsbeschränkungen überprüfen; Citrix schreibt eine engmaschige Überwachung für mindestens 90 Tage nach der Wiederherstellung vor.

Stolpersteine

Ein Patch, eine Sitzungstrennung und ein unauffälliger Indikatorscan beantworten unterschiedliche Fragen. Keiner dieser Schritte allein belegt, dass ein früheres Eindringen keine dauerhafte Verankerung hinterlassen hat. Verwaltungsdienste vom öffentlichen Internet fernhalten und die Beweise aufbewahren, die zur Untersuchung unerwarteter Konfigurationsänderungen benötigt werden.