Die US-Cyberbehörde CISA hat am 9. September 2026 eine kritische Authentifizierungs-Umgehung in Citrix NetScaler in ihren Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen und US-Bundesbehörden nur bis zum 12. September Zeit gegeben, die Lücke zu schließen.
Was die Lücke gefährlich macht
CVE-2026-19490 ist als „Authentication Bypass Using an Alternate Path or Channel“ (CWE-288) eingestuft und mit einem CVSS-Score von 9.3 (CVSS 4.0) bewertet. Ein Angriff erfordert keine Anmeldedaten: Ein entfernter, nicht authentifizierter Angreifer kann die Login-Prüfung umgehen und auf Funktionen zugreifen, die sonst gültige Zugangsdaten voraussetzen. Betroffen sind NetScaler-ADC- und -Gateway-Appliances, die als AAA- oder Gateway-vServer konfiguriert sind – also typische SSL-VPN-, ICA-Proxy-, CVPN- und RDP-Proxy-Deployments am Netzwerkrand.
Aktive Ausnutzung nach veröffentlichtem PoC
Anfang September kursierte ein funktionsfähiger Proof-of-Concept öffentlich. Sicherheitsforscher registrierten zwischen dem 3. und 8. September Dutzende Ausnutzungsversuche gegen Honeypot-Systeme. Mit der KEV-Aufnahme am 9. September bestätigte die CISA reale Angriffsaktivität und setzte unter der Direktive BOD 26-04 eine Frist zum 12. September.
Betroffene Versionen und Fix
Verwundbar sind die 14.1-Releases vor 14.1-73.32 sowie die 13.1-Releases vor 13.1-63.21; für FIPS- und NDcPP-Builds gelten eigene Fix-Stände. Citrix hatte die Updates bereits am 19. August 2026 bereitgestellt. Administratoren sollten internetseitig erreichbare Appliances umgehend aktualisieren und nach der KEV-Warnung auf Kompromittierungsspuren prüfen.
Quelle: CISA – Known Exploited Vulnerabilities Catalog (09.09.2026)
