Citrix NetScaler: Angreifer nutzen kritische Schwachstelle für getarnte Web-Shells

Security · 1.10.2026

Eine kritische Sicherheitslücke in Citrix NetScaler ADC und Gateway wird aktiv ausgenutzt, um über getarnte CSS-Dateien Web-Shells und Superuser-Konten zu etablieren.

Sicherheitsforscher beobachten derzeit aktive Angriffe auf eine kritische, ohne Authentifizierung ausnutzbare Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway. Die Angreifer schleusen dabei Schadcode ein, um Web-Shells zu installieren und Administratorenrechte zu erlangen. Besonders perfide: Die Web-Shells werden als scheinbar harmlose CSS-Dateien getarnt, um herkömmliche Sicherheitskontrollen zu umgehen.

Warum ist das wichtig?

Citrix NetScaler ist in vielen Unternehmen im DACH-Raum eine zentrale Infrastrukturkomponente für den sicheren Fernzugriff und die Lastverteilung. Ein erfolgreicher Einbruch an dieser Stelle hebelt die gesamte Netzwerkperimetersicherheit aus. Die Erstellung von Superuser-Konten ermöglicht es den Angreifern, dauerhaft im System zu verbleiben und unbemerkt Konfigurationsdaten sowie sensible Zugangsdaten abzugreifen. Da die Schadprogramme legitime CSS-Pfade imitieren, bleiben sie für Standard-Monitoring-Tools oft unsichtbar.

Was Nutzer jetzt tun sollten

IT-Verantwortliche und Administratoren müssen unverzüglich handeln, um ihre Systeme abzusichern:

• Patches einspielen: Prüfen Sie die installierte Citrix-Version und spielen Sie sofort die bereitgestellten Sicherheitsupdates des Herstellers ein.
• Kompromittierung prüfen: Suchen Sie nach ungewöhnlichen Benutzerkonten mit Superuser-Rechten und analysieren Sie die Webserver-Verzeichnisse auf neu erstellte oder modifizierte CSS-Dateien, die verdächtigen Code enthalten.
• Log-Analyse: Überprüfen Sie die Netzwerk- und Systemprotokolle auf Anzeichen von unautorisierten Befehlsausführungen vor der Authentifizierung.
• Zugriff einschränken: Begrenzen Sie die Administrationsschnittstellen von NetScaler strikt auf interne Management-Netzwerke.

Fazit

Diese Angriffswelle verdeutlicht erneut, dass Edge-Appliances wie Citrix NetScaler primäre Angriffsziele für hochentwickelte Akteure bleiben. Ein schnelles Patch-Management und proaktives Bedrohungssuchen im eigenen Netzwerk sind für Unternehmen unverzichtbar.

Quelle: The Hacker News