Citrix-Lücke mit CVSS 9.3 reiht sich in Welle kritischer Enterprise-Schwachstellen ein

Citrix hat am 12. November 2026 ein Sicherheitsbulletin veröffentlicht, das 28 Schwachstellen in NetScaler ADC und NetScaler Gateway dokumentiert. Davon gelten 9 als kritisch. Im Zentrum steht CVE-2026-120868, eine Memory-Overflow-Schwachstelle in der Paketverarbeitung mit einem CVSS-Wert von 9.3. Laut CERT-EU Security Advisory 2026-020 betrifft die Lücke jede Installation, auch solche mit Standardkonfiguration: 'CVE-2026-120868 affects every deployment, including those using the default configuration.'

Citrix als wiederkehrendes Ziel

NetScaler-Produkte stehen seit Monaten im Fokus von Sicherheitsforschern und Angreifern gleichermaßen. Bereits im März 2026 musste Citrix zwei kritische Schwachstellen schließen, CVE-2026-3055 mit einem CVSS-Wert von 9.3 und CVE-2026-4368 mit 7.7. Im September 2026 bestätigte der Hersteller dann aktive Ausnutzung zweier Remote-Code-Execution-Lücken. Im Citrix Security Bulletin CTX697096 heißt es dazu: 'Exploits of CVE-2026-88771 and CVE-2026-88772 on unmitigated NetScaler deployments have been observed.' Die Häufung zeigt, dass NetScaler als zentrale Komponente für Load-Balancing, VPN-Zugänge und Zugangsschutz ein attraktives Ziel bleibt, weil eine erfolgreiche Kompromittierung direkten Zugriff auf dahinterliegende Unternehmensnetzwerke eröffnen kann.

Nicht nur Citrix betroffen

Die Häufung kritischer Lücken beschränkt sich nicht auf einen Hersteller. SAP musste 2026 gleich zwei besonders schwerwiegende Schwachstellen schließen: CVE-2026-44756 in der Extended Passport Processing mit dem Maximalwert CVSS 10.0 sowie CVE-2026-58240 in NetWeaver mit CVSS 9.8. Oracle behob im August-Patchday (CSPU) insgesamt 925 Schwachstellen, wobei vor allem Hyperion und Fusion Middleware mit CVSS-10.0-Bewertungen auffielen. Auch Dell RecoverPoint ist betroffen: CVE-2026-22769 mit CVSS 10.0 wird bereits aktiv ausgenutzt, weil fest eincodierte Anmeldedaten Root-Zugriff ermöglichen. Wie viele dieser Lücken in Unternehmensinfrastrukturen tatsächlich bereits geschlossen wurden und wie lange die durchschnittliche Patch-Latenz ausfällt, ist bislang nicht abschließend dokumentiert.

Sicherheitsrückstände wachsen schneller als die Kapazitäten

Der Veracode State of Software Security Report 2026 liefert dazu ein alarmierendes Bild der Gesamtlage: '82 Prozent der Unternehmen derzeit Sicherheitsdefizite aufweisen, ein Anstieg von 11 Prozent gegenüber dem Vorjahr.' Davon weisen 60 Prozent kritische Rückstände auf. Kritische Schwachstellen nehmen laut dem Bericht um 20 Prozent gegenüber 2025 zu, hochriskante Schwachstellen sogar um 36 Prozent. Diese Entwicklung betrifft nicht nur klassische Netzwerkkomponenten wie NetScaler, sondern auch weit verbreitete Büroanwendungen, wie zuletzt kritische Sicherheitslücken in LibreOffice und OpenOffice zeigten, die Millionen Nutzer ohne Warnung zur Code-Ausführung verleiten konnten.

Neue Angriffsvektoren erweitern das Risiko

Parallel zu klassischen Softwarelücken nutzen Angreifer zunehmend mehrschichtige Strategien. Laut Netzpalaver missbrauchen Cyberkriminelle legitime KI-Plattformen für Phishing-Kampagnen und OAuth-Consent-Grant-Angriffe, bei denen gestohlene Zugriffstoken bis zu 90 Tage gültig bleiben. Zudem zielt die ESXi-Variante der Ransomware LockBit 5.0 gezielt auf virtuelle Infrastrukturen und kann laufende virtuelle Maschinen herunterfahren und Dateien verschlüsseln. Auch im WordPress-Ökosystem wird seit November eine Schwachstelle aktiv ausgenutzt: CVE-2026-119977, ein TOCTOU-Fehler in den WordPress-Core-Versionen 4.7 bis 7.1.3. Der IT-Daily Sicherheitsbericht fasst die Lage zusammen: 'Cyberkriminelle nutzen zunehmend künstliche Intelligenz, gestohlene Zugangsdaten und vertrauenswürdige IT-Dienste, um komplexe Angriffe auf Unternehmensnetzwerke durchzuführen.'

Ausblick auf die Absicherung

Die Häufung kritischer Schwachstellen bei gleichzeitig wachsenden Sicherheitsrückständen stellt Unternehmen vor ein strukturelles Problem: Patch-Kapazitäten halten offenbar nicht mit der Zahl neuer Lücken Schritt. Hinzu kommt, dass veraltete, nicht mehr unterstützte Systeme zusätzliche Angriffsflächen bieten, wie bereits die Diskussion um das Support-Ende von Windows 10 und den Zwangsumstieg auf Windows 11 gezeigt hat. Offen bleibt, welche Branchen und Behörden bislang konkret durch die November-Schwachstellen in Citrix-Produkten kompromittiert wurden und welche Abwehrmaßnahmen, etwa Netzwerksegmentierung, Endpoint Detection oder Cloud-basierte Web Application Firewalls, sich in der Praxis als am wirksamsten erweisen. Bis belastbare Daten dazu vorliegen, bleibt Unternehmen vor allem die zügige Installation verfügbarer Patches sowie eine kritische Überprüfung ihrer Standardkonfigurationen.