Citrix hat innerhalb von drei Wochen vier kritische Sicherheitslücken in seinen NetScaler-Produkten offengelegt, drei davon bereits aktiv ausgenutzt. Die US-Cybersicherheitsbehörde CISA nahm die neueste Lücke, CVE-2026-88779, am 5. Oktober 2026 in ihren Known-Exploited-Vulnerabilities-Katalog (KEV) auf und setzte Bundesbehörden eine Frist bis zum 7. Oktober. Für Unternehmen in Österreich und der gesamten DACH-Region ist das eine unangenehme Wiederholung: NetScaler ADC und NetScaler Gateway sitzen in tausenden Firmen als VPN-Einstiegspunkt direkt am Internet, genau dort, wo frühere Citrix-Lücken wie das berüchtigte “CitrixBleed” massenhaft Zugangsdaten abgegriffen haben.
Was diese Welle besonders macht, ist das Tempo. Zwischen dem 27. September und dem 9. Oktober 2026 veröffentlichte Citrix vier separate Advisories mit insgesamt acht CVEs, von denen vier öffentlich als unter aktivem Beschuss gemeldet wurden. Für IT-Sicherheitsteams bedeutet das: Patchen, bevor die nächste Lücke auftaucht, statt in Ruhe zu planen.
Die vier NetScaler-Lücken im Überblick
Den Anfang machte am 27. September 2026 ein Doppelpack: CVE-2026-88771 und CVE-2026-88772. Beide erhielten laut Citrix-Bulletin CTX697096 einen CVSS-v4.0-Wert von 9.5, also die höchste praktisch vergebene Kategorie. CVE-2026-88771 ist eine unauthentifizierte Remote-Code-Execution-Lücke durch unzureichende Eingabevalidierung, die laut Citrix alle NetScaler-ADC- und -Gateway-Installationen in Standardkonfiguration betrifft, ganz ohne besondere Zusatzfunktion. CVE-2026-88772 ist ein Speicherüberlauf, der auf Systemen mit aktiviertem DTLS zuschlägt, einer Einstellung, die auf VPN-Virtual-Servern standardmäßig läuft. Beide Lücken waren laut dem britischen National Cyber Security Centre bereits aktiv ausgenutzt, als Citrix sie offenlegte.
Keine zehn Tage später, am 5. Oktober, folgte CVE-2026-88779. Diese Lücke ist technisch anders gelagert: ein Speicherüberlauf, der “nur” einen Denial-of-Service auslöst, also einen Ausfall statt einer Codeausführung. Der Sicherheitsforscher Jake Knott, Head of Threat Intelligence beim auf NetScaler-Forschung spezialisierten Unternehmen watchTowr, ordnete die Lücke öffentlich gegenüber CyberScoop ein: “This means it doesn’t work out of the box against every NetScaler deployment” (CyberScoop), weil die Ausnutzung voraussetzt, dass SAML aktiviert ist. Gleichzeitig warnte er, wie simpel ein Angriff im Erfolgsfall ist: “Incredibly simple to trigger, with a single specially crafted request being all that is needed to knock an appliance offline” (CyberScoop).
Citrix selbst bestätigte in seinem Advisory, dass bereits Angriffe auf ungepatchte Systeme beobachtet wurden: “Citrix has observed targeted attacks on unmitigated NetScaler deployments which can lead to denial of service” (BankInfoSecurity). Besonders unangenehm für Betreiber: Der Zustand lässt sich wiederholen. Laut Citrix bleibt der Dienst bei wiederholter Auslösung dauerhaft gestört: “If the condition is triggered repeatedly, the service may remain unavailable” (BankInfoSecurity). Der bekannte Sicherheitsforscher Kevin Beaumont äußerte zudem Zweifel, ob die Lücke wirklich nur einen Ausfall produziert, und beschrieb ein Ausnutzungsmuster, das über reines Denial-of-Service hinausgeht: “You can spam SAML requests and something will execute commands again” (BankInfoSecurity).
Am 9. Oktober schließlich veröffentlichte Citrix ein viertes Advisory zu CVE-2026-107406, ebenfalls mit CVSS 9.5 bewertet. Diese Lücke betrifft NetScaler-Appliances, die als SAML Service Provider oder SAML Identity Provider konfiguriert sind, und kann laut Citrix sowohl zu Remote Code Execution als auch zu Denial-of-Service führen. Vier kritische NetScaler-Advisories innerhalb von sechs Wochen, so beschrieb es die Sicherheitsplattform CybelAngel in ihrem wöchentlichen Rückblick.
Tabelle: Die NetScaler-Schwachstellen im Detail
| CVE-ID | CVSS-Wert | Art der Schwachstelle | Status | Betroffene Versionen |
|---|---|---|---|---|
| CVE-2026-88771 | 9.5 (v4.0) | Unauthentifizierte Remote Code Execution | Aktiv ausgenutzt | Alle Standard-Deployments von NetScaler ADC/Gateway |
| CVE-2026-88772 | 9.5 (v4.0) | Speicherüberlauf (RCE/DoS) | Aktiv ausgenutzt | Deployments mit aktiviertem DTLS |
| CVE-2026-88779 | Kein offizieller v3-Wert veröffentlicht | Speicherüberlauf (Denial-of-Service) | Aktiv ausgenutzt, in CISA KEV | 14.1 vor 14.1-73.41, 13.1 vor 13.1-64.28, plus FIPS-Varianten |
| CVE-2026-107406 | 9.5 | Speicherüberlauf (RCE/DoS) | Patch veröffentlicht, Ausnutzung nicht bestätigt | Appliances als SAML SP/IdP konfiguriert, behoben in 14.1-73.46 / 13.1-64.29 |
Teil einer größeren KEV-Welle im Oktober
Die NetScaler-Lücken stehen nicht isoliert. CISA erweiterte den KEV-Katalog im Oktober 2026 in mehreren Wellen deutlich. Am 8. Oktober kamen laut dem Threat-Intelligence-Unternehmen CybelAngel fünf weitere Einträge hinzu, die auf eine Ausnutzung durch die mit China verbundene Gruppe Flax Typhoon zurückgeführt wurden, darunter ältere Schwachstellen in Apache Struts (CVE-2016-3081), ISC BIND (CVE-2015-5477), ProFTPD (CVE-2015-3306), ONLYOFFICE Docs Server (CVE-2021-3199) und Strapi (CVE-2023-22894). Dass Angreifer teils acht bis zehn Jahre alte Lücken reaktivieren, zeigt, dass Patch-Rückstände in Unternehmensnetzen weiterhin ein lohnendes Ziel bleiben, nicht nur brandneue Zero-Days.
Parallel dazu meldete der Backup-Anbieter AhsayCBS am 9. Oktober zwei eigene Schwachstellen: CVE-2026-105133, ein Authentifizierungsfehler in der Funktion checkSysPwd() mit CVSS v4 von 5.5, sowie CVE-2026-105134, eine OS-Command-Injection im Replication-Receiver-Modul mit CVSS v4 von 9.3. Da Backup-Systeme typischerweise privilegierten Zugriff auf große Datenmengen haben, zählen sie zu den attraktivsten Zielen für Ransomware-Gruppen, die nach der Verschlüsselung auch die Wiederherstellung sabotieren wollen.
Zwischen dem 13. und 14. Oktober ergänzte CISA laut dem Portal Cybersecurity Tracker vier weitere 2026er-CVEs im KEV-Katalog: CVE-2026-104935 (eine Ivanti-Connect-Secure-Lücke), CVE-2026-96951, CVE-2026-76519 und CVE-2026-0322. Am 15. Oktober kam zusätzlich ein Eintrag zu CVE-2026-88779 selbst hinzu, bestätigt durch Qualys ThreatPROTECT. Noch brisanter: CERT.at berichtete am 7. Oktober über eine mögliche KVM-Zero-Day-Lücke, die einen Ausbruch aus einer virtuellen Maschine auf das Host-System erlauben soll. Zum Zeitpunkt der Meldung gab es weder eine offizielle CVE-Nummer noch einen öffentlich verfügbaren Exploit, und betroffene Linux-Kernel-Versionen waren noch nicht identifiziert.
Warum NetScaler für Angreifer so attraktiv ist
NetScaler ADC (früher Citrix ADC, davor NetScaler) ist ein Application Delivery Controller, der Lastverteilung, Webanwendungs-Firewall und VPN-Gateway-Funktionen in einem Gerät vereint. Genau diese Vielseitigkeit macht ihn zum bevorzugten Ziel: Ein einziger kompromittierter NetScaler kann einem Angreifer direkten Zugang zum internen Netz verschaffen, Session-Token stehlen und als Sprungbrett für weitere Bewegungen im Netzwerk dienen. Weil die Appliance per Design am Internetrand steht, braucht ein Angreifer keinen Insider-Zugang, keine Phishing-Mail und keine gestohlenen Zugangsdaten. Er muss nur die richtige Anfrage an die richtige Schnittstelle senden.
Das ist kein neues Muster. Ende 2023 sorgte CVE-2023-4966, besser bekannt unter dem Spitznamen CitrixBleed, für Schlagzeilen, weil die Lücke Session-Token aus dem Arbeitsspeicher von NetScaler-Geräten auslesbar machte, ganz ohne Multi-Faktor-Authentifizierung zu umgehen, denn die gestohlenen Token ersetzten die Anmeldung komplett. Mehrere große Ransomware-Kampagnen, unter anderem mit Beteiligung der Gruppe LockBit, nutzten CitrixBleed für Einbrüche bei Unternehmen und Behörden weltweit. CVE-2026-88771 und CVE-2026-88772 erreichen mit CVSS v4.0 von 9.5 eine ähnliche Schweregradklasse wie CitrixBleed und betreffen ebenfalls internetseitige NetScaler-Appliances mit der Möglichkeit zur unauthentifizierten Codeausführung. Ein direkter, belastbarer Vergleich der tatsächlichen Opferzahlen für die 2026er-Wellen liegt aktuell noch nicht vor, dafür ist es zum Redaktionsschluss schlicht zu früh.
Citrix NetScaler im Vergleich zu anderen VPN-Gateways
NetScaler ist 2026 nicht der einzige Edge-Appliance-Hersteller mit Problemen. Ivanti Connect Secure musste im Oktober ebenfalls eine aktiv ausgenutzte Lücke nachmelden, CVE-2026-104935, die direkt in den CISA-KEV-Katalog aufgenommen wurde. Beide Produktfamilien, NetScaler und Ivanti Connect Secure, teilen eine Gemeinsamkeit: Sie sind VPN-Gateways, die bewusst am Internetrand stehen, um Remote-Zugriff zu ermöglichen, und genau diese Position macht sie zu bevorzugten Zielen staatlich verbundener Angreifergruppen, die auf Erstzugang in Unternehmensnetze spezialisiert sind.
Der Unterschied zwischen den Herstellern liegt oft weniger in der reinen Anzahl der Lücken als im Reaktionsverhalten. Citrix veröffentlichte bei der aktuellen Welle innerhalb von Stunden nach Bekanntwerden der Ausnutzung Patches und Mitigationsempfehlungen, was Sicherheitsforscher grundsätzlich positiv bewerten, auch wenn die schiere Kadenz der Advisories (vier in sechs Wochen) bei IT-Teams für Patch-Müdigkeit sorgt. Für Unternehmen bedeutet das in der Praxis: Die Wahl des Edge-Anbieters schützt nicht vor Zero-Days, sie bestimmt höchstens, wie schnell ein Hersteller reagiert und wie granular sich Mitigationen ohne volle Downtime umsetzen lassen.
Tabelle: CISA-KEV-Ergänzungen im Oktober 2026
| Datum | Betroffenes Produkt | CVE(s) | Zugeschriebener Akteur / Kontext |
|---|---|---|---|
| 27. September | Citrix NetScaler ADC/Gateway | CVE-2026-88771, CVE-2026-88772 | Aktive Ausnutzung bei Offenlegung bestätigt |
| 5. Oktober | Citrix NetScaler ADC/Gateway | CVE-2026-88779 | In CISA KEV, CISA-Frist für Bundesbehörden: 7. Oktober |
| 8. Oktober | Apache Struts, ISC BIND, ProFTPD, ONLYOFFICE, Strapi | CVE-2016-3081 u. a. (5 Einträge) | Flax Typhoon (China-naher Akteur) |
| 9. Oktober | Citrix NetScaler (SAML SP/IdP), AhsayCBS | CVE-2026-107406, CVE-2026-105133, CVE-2026-105134 | Backup-Infrastruktur und VPN-Gateway gleichzeitig betroffen |
| 13.–14. Oktober | Ivanti Connect Secure u. a. | CVE-2026-104935, CVE-2026-96951, CVE-2026-76519, CVE-2026-0322 | Vier weitere KEV-Ergänzungen in zwei Tagen |
| 15. Oktober | Citrix NetScaler | CVE-2026-88779 (KEV-Bestätigung) | Formale Aufnahme laut Qualys ThreatPROTECT |
Was das für Unternehmen in Österreich bedeutet
Für Betriebe in Österreich ist die NetScaler-Welle aus zwei Gründen relevant. Erstens zählen VPN-Gateways und Application Delivery Controller zu den klassischen Komponenten in KMU- und Konzern-IT, oft seit Jahren im Einsatz und nicht immer im zentralen Patch-Management-Zyklus priorisiert. Zweitens greift seit Oktober 2026 das österreichische NIS-2-Umsetzungsgesetz (NISG), das wesentliche und wichtige Einrichtungen zu Meldepflichten bei erheblichen Sicherheitsvorfällen verpflichtet. Eine erfolgreich ausgenutzte NetScaler-Lücke mit Zugriff auf interne Systeme kann je nach Schweregrad genau in diese Meldepflicht fallen, mit Fristen von 24 Stunden für die Erstmeldung.
Praktisch heißt das für IT-Verantwortliche: Wer NetScaler-Appliances betreibt, sollte prüfen, ob DTLS oder SAML-Funktionen aktiv sind, auch wenn sie ursprünglich für einen anderen Zweck konfiguriert wurden, denn genau diese Konfigurationen bestimmen, welche der vier Lücken überhaupt greifen. CERT.at, die nationale Melde- und Warnstelle für IT-Sicherheit, veröffentlicht solche Hinweise regelmäßig in seinen Tagesmeldungen, die aktuelle NetScaler-Serie eingeschlossen.
Die Reaktion der Hersteller und Behörden
Citrix hat auf jede der vier Lücken mit einem eigenen Security-Bulletin reagiert und feste Versionsnummern als Fix veröffentlicht: 14.1-73.46 und 13.1-64.29 für die jüngste Lücke CVE-2026-107406, mit separaten FIPS-Builds für Behördenumgebungen. Für CVE-2026-88779 nennt Citrix 14.1-73.41 und 13.1-64.28 als erste gefixte Versionen. Das neuseeländische National Cyber Security Centre bestätigte in einer eigenen Warnung, dass mindestens zwei der Schwachstellen unter aktiver Ausnutzung standen, und stufte CVE-2026-88771 und CVE-2026-88772 übereinstimmend mit Citrix als kritisch mit CVSS 9.5 ein. Das britische NCSC veröffentlichte ein eigenes PDF-Advisory zur Ausnutzung der Lücken, was auf eine koordinierte internationale Einschätzung der Bedrohungslage hindeutet.
Von deutschen oder österreichischen Behörden lag zum Redaktionsschluss keine eigenständige, öffentlich zitierbare Stellungnahme vor, die über die Weiterverbreitung der Citrix-Advisories hinausging. CERT.at listete die Entwicklungen in seinen Tagesmeldungen, ohne eine eigene abweichende Risikoeinschätzung zu veröffentlichen.
Historischer Kontext: Citrix und die Edge-Appliance-Problematik
Citrix-Produkte stehen seit Jahren im Fokus von Sicherheitsforschern und Angreifern gleichermaßen. Schon 2019 sorgte CVE-2019-19781 (“Shitrix”) für breite Ausnutzung gegen Citrix ADC und Gateway. 2023 folgte CitrixBleed, das laut mehreren Incident-Response-Berichten in Verbindung mit Ransomware-Vorfällen bei Großunternehmen und Behörden stand. Die aktuelle Welle aus dem Herbst 2026 fügt sich in dieses Muster: Ein hochkomplexes, weit verbreitetes Edge-Produkt mit großer Angriffsfläche produziert in regelmäßigen Abständen kritische Lücken, die schneller ausgenutzt als gepatcht werden. Der Unterschied 2026 ist die Kadenz: Statt eines einzelnen jährlichen Großereignisses sehen Sicherheitsteams mittlerweile mehrere kritische NetScaler-Advisories innerhalb weniger Wochen, was die Planungssicherheit für Patch-Fenster in Unternehmen zusätzlich erschwert.
Marktauswirkungen und Reaktionen der Sicherheitsbranche
Für Anbieter von Vulnerability-Management- und Threat-Intelligence-Diensten ist jede neue KEV-Welle zugleich ein Geschäftsargument. Unternehmen wie Qualys, Tenable und watchTowr veröffentlichten binnen Stunden nach den Citrix-Advisories eigene Analysen und FAQ-Dokumente, in denen sie Kunden bei der Priorisierung unterstützen. Das zeigt, wie sich der Markt für kontinuierliches Exposure-Management seit CitrixBleed professionalisiert hat: Statt auf den nächsten Patch-Tuesday zu warten, erwarten Unternehmen inzwischen Stunden-genaue Reaktionszeiten von ihren Sicherheitsanbietern.
Gleichzeitig wächst der Druck auf Citrix selbst. Vier kritische Advisories in sechs Wochen sind für einen Hersteller, dessen Produkt in praktisch jedem größeren Unternehmensnetz irgendwo verbaut ist, ein Reputationsrisiko. Analysten im Bereich Cyber-Versicherung dürften die Häufung bei der Bewertung von Cyber-Risiko-Policen für Unternehmen mit NetScaler-Abhängigkeit berücksichtigen, auch wenn dazu noch keine öffentlich belastbaren Zahlen für 2026 vorliegen.
Was Sicherheitsteams jetzt konkret tun sollten
Die unmittelbare Handlungsempfehlung ist unspektakulär, aber dringend: alle NetScaler-ADC- und -Gateway-Instanzen auf die jeweils aktuellen Fix-Builds aktualisieren und die Konfiguration auf aktivierte DTLS- oder SAML-Funktionen prüfen. Wo ein sofortiges Patchen nicht möglich ist, empfiehlt es sich, betroffene Funktionen temporär zu deaktivieren oder den Zugriff über zusätzliche Netzwerksegmentierung einzuschränken. Zusätzlich raten Sicherheitsforscher, vorhandene Session-Token nach einem Patch zu invalidieren, eine Lektion direkt aus der CitrixBleed-Erfahrung, bei der reines Patchen ohne Token-Rotation Angreifer im Netz beließ.
Darüber hinaus lohnt sich ein Blick auf Log-Daten der vergangenen Wochen, insbesondere auf ungewöhnliche Authentifizierungsmuster oder wiederholte Anfragen an SAML-Endpunkte, die auf die von Kevin Beaumont beschriebenen Ausnutzungsversuche hindeuten könnten. Für Unternehmen, die unter das NISG fallen, empfiehlt sich zudem eine dokumentierte interne Bewertung, ob ein etwaiger Vorfall die Meldeschwelle gegenüber der zuständigen Behörde erreicht.
Prognosen: Wie geht es weiter?
- Weitere NetScaler-Advisories sind in den kommenden Monaten wahrscheinlich, da Sicherheitsforscher nach der aktuellen Welle verstärkt nach verwandten Lücken in der gleichen Codebasis suchen werden.
- Ransomware-Gruppen dürften versuchen, innerhalb der typischen Patch-Lücke von einigen Wochen bis Monaten ungepatchte NetScaler-Instanzen für Erstzugänge zu kompromittieren, ähnlich wie nach CitrixBleed beobachtet.
- Die Zahl der KEV-Katalog-Einträge mit älteren, teils acht bis zehn Jahre alten CVEs wird vermutlich weiter steigen, da Gruppen wie Flax Typhoon gezielt nach ungepatchten Legacy-Systemen suchen.
- Regulatorische Behörden in der EU, darunter CERT-EU, dürften angesichts der Häufung kritischer Edge-Appliance-Lücken ihre Advisories künftig stärker bündeln, um Unternehmen eine konsolidierte Priorisierung zu erleichtern.
- Anbieter von Exposure-Management-Lösungen werden die NetScaler-Serie voraussichtlich als Referenzfall nutzen, um für automatisierte, kontinuierliche Schwachstellenerkennung bei Edge-Geräten zu werben.
Technische Einordnung: Was SAML und DTLS mit dem Risiko zu tun haben
Zwei der vier Lücken hängen direkt an Funktionen, die in vielen Umgebungen aktiv, aber selten im Fokus von Sicherheitsaudits stehen. DTLS (Datagram Transport Layer Security) verschlüsselt verbindungslosen UDP-Verkehr und wird bei NetScaler standardmäßig für VPN-Virtual-Server aktiviert, oft ohne dass Administratoren das bewusst entschieden haben. SAML (Security Assertion Markup Language) wiederum regelt den Single-Sign-On-Austausch zwischen Identitätsanbieter und Dienstanbieter und ist in Unternehmen mit zentralisierter Benutzerverwaltung praktisch Standard. Weil beide Funktionen so verbreitet, aber so selten explizit geprüft werden, erhöhen sie die tatsächliche Angriffsfläche der betroffenen NetScaler-Lücken deutlich über das hinaus, was eine reine CVE-Beschreibung vermuten lässt.
# Beispiel: Prüfen, ob DTLS auf einem NetScaler-VPN-Virtual-Server aktiv ist
show vpn vserver <name>
# Im Ausgabefeld "DTLS" nach "ON" oder "OFF" suchen
# Bei "ON" und ungepatchter Firmware besteht Exposition gegenüber CVE-2026-88772Häufig gestellte Fragen
Was ist CVE-2026-88779 genau?
CVE-2026-88779 ist ein Speicherüberlauf in Citrix NetScaler ADC und NetScaler Gateway, der zu einem Denial-of-Service führen kann. Citrix veröffentlichte das Advisory am 5. Oktober 2026, CISA nahm die Lücke in den Known-Exploited-Vulnerabilities-Katalog auf, nachdem aktive Angriffe auf ungepatchte Systeme beobachtet wurden.
Welche NetScaler-Versionen sind betroffen?
Betroffen sind NetScaler ADC und Gateway 14.1 vor Version 14.1-73.41 sowie 13.1 vor 13.1-64.28, inklusive der jeweiligen FIPS- und NDcPP-Varianten. Für die später entdeckte Lücke CVE-2026-107406 sind die Fix-Versionen 14.1-73.46 und 13.1-64.29.
Ist meine NetScaler-Installation automatisch gefährdet?
Nicht jede Installation ist gleich betroffen. CVE-2026-88772 setzt aktiviertes DTLS voraus, CVE-2026-107406 betrifft nur Appliances, die als SAML Service Provider oder Identity Provider konfiguriert sind. CVE-2026-88771 hingegen betrifft laut Citrix alle Standard-Deployments, unabhängig von Zusatzfunktionen.
Wie unterscheidet sich diese Welle von CitrixBleed 2023?
CitrixBleed (CVE-2023-4966) erlaubte das Auslesen von Session-Token aus dem Arbeitsspeicher und damit die vollständige Umgehung von Anmeldeschutz inklusive Multi-Faktor-Authentifizierung. Die 2026er-Lücken CVE-2026-88771 und CVE-2026-88772 erreichen mit CVSS v4.0 von 9.5 eine ähnlich hohe Schweregradklasse und ermöglichen teilweise unauthentifizierte Remote Code Execution, ein belastbarer Vergleich der realen Opferzahlen liegt aber noch nicht vor.
Welche Frist hat CISA für die Behebung gesetzt?
Für CVE-2026-88779 nannte CISA den 7. Oktober 2026 als Frist für US-Bundesbehörden zur Behebung. Diese sogenannten Binding Operational Directives gelten direkt nur für US-Behörden, dienen aber international als De-facto-Priorisierungssignal für Unternehmen.
Was bedeutet die NetScaler-Lücke für Unternehmen in Österreich konkret?
Österreichische Unternehmen, die unter das seit Oktober 2026 geltende NIS-2-Umsetzungsgesetz fallen, müssen prüfen, ob ein erfolgreicher Angriff über eine der NetScaler-Lücken die Meldeschwelle für erhebliche Sicherheitsvorfälle erreicht. In diesem Fall gilt eine Erstmeldefrist von 24 Stunden gegenüber der zuständigen Behörde.
Reicht ein einfaches Update, um die Lücken zu schließen?
Das Einspielen der von Citrix bereitgestellten Fix-Versionen schließt die jeweilige Lücke, verhindert aber nicht automatisch, dass ein Angreifer, der vor dem Patch bereits eindrang, weiterhin aktive Sessions nutzt. Sicherheitsforscher empfehlen deshalb zusätzlich, bestehende Sessions und Token nach dem Patch zu invalidieren.
Wer steckt hinter den Angriffen auf die NetScaler-Lücken?
Für CVE-2026-88771, CVE-2026-88772 und CVE-2026-88779 liegt zum Redaktionsschluss keine öffentlich bestätigte Zuschreibung zu einer konkreten Angreifergruppe vor. Für eine separate Gruppe von fünf älteren, am 8. Oktober in den KEV-Katalog aufgenommenen CVEs nennt CybelAngel die mit China verbundene Gruppe Flax Typhoon als verantwortlich.