NetScaler Console CVE-2026-120869: Update auf 14.1-74.34 per CLI

/0 Kommentare/von

Citrix hat am 12. November 2026 das Sicherheitsbulletin CTX697320 für die NetScaler Console (früher ADM) veröffentlicht. Die Lücke CVE-2026-120869 (CVSS 9.4) erlaubt es laut Citrix, die Anmeldung zu umgehen und ohne Zugangsdaten auf geschützte Bereiche der Console zuzugreifen. Betroffen sind alle 14.1-Builds unter 14.1-74.34. Ich habe meine Testinstanz per CLI auf 74.34 aktualisiert, hier ist der Ablauf mit den Stellen, an denen man aufpassen sollte.

Weiterlesen

NetScaler CVE-2026-120868 und 27 weitere Lücken: Update und Vorbedingungen prüfen

/0 Kommentare/von

Citrix hat am 12. November 2026 das Sicherheitsbulletin CTX697305 für NetScaler ADC und NetScaler Gateway veröffentlicht. Es behebt 28 Schwachstellen auf einmal, fast alle Speicherüberläufe. Eine davon, CVE-2026-120868 (CVSS 9.3), betrifft laut Citrix jede Appliance, auch in der Standardkonfiguration. Damit ist auch der bisherige Mindestbuild 14.1-73.49 vom Oktober wieder verwundbar, und das Update auf 14.1-73.57 bzw. 13.1-64.39 ist für alle fällig.

Weiterlesen

Verbindung abgelehnt heißt falscher Port, nicht Zertifikat

/0 Kommentare/von

Ein Skript fragt die NetScaler über ihre REST-Schnittstelle NITRO ab, und statt einer Antwort kommt „Verbindung abgelehnt“, englisch „Connection refused“. Weil am Management gerade erst ein neues Zertifikat eingespielt wurde, liegt der Verdacht beim Zertifikat. Diese Meldung entsteht aber eine Schicht tiefer: Sie kommt aus TCP, bevor überhaupt ein Zertifikat übertragen wurde. Dieser Beitrag trennt die Fehlerbilder Ablehnung, Zeitüberschreitung, abgebrochener TLS-Handshake und Zertifikatsfehler und zeigt für jedes einen Prüfbefehl, gemessen an meiner Testinstanz.

Weiterlesen

GSLB-Failover: warum Clients länger am alten Standort bleiben

/0 Kommentare/von

Ein Standort fällt aus. Der Monitor auf der NetScaler erkennt es nach gut zehn Sekunden, GSLB beantwortet die nächste DNS-Anfrage mit dem anderen Standort, alles arbeitet wie konfiguriert. Ein Teil der Clients verbindet sich trotzdem weiter mit dem ausgefallenen Standort. Der GSLB-Failover ist zu diesem Zeitpunkt auf der NetScaler abgeschlossen, bei diesen Clients aber noch nicht angekommen. Dieser Beitrag zeigt, woraus sich die Dauer zusammensetzt, gemessen an meiner Testinstanz.

Weiterlesen

NetScaler und PHP CVE-2026-109618: Management-Zugriff jetzt absichern

/0 Kommentare/von

Citrix hat am 21. Oktober 2026 in den Citrix Techzone Blogs bestätigt, dass NetScaler von zwei kritischen Lücken in PHP betroffen ist: CVE-2026-109618 und CVE-2026-109619. Die Management-Oberfläche des NetScaler läuft auf PHP. Alle unterstützten Versionen sind betroffen, einen behobenen Build gibt es noch nicht. Bis dahin hilft nur eins: den Management-Zugriff auf vertrauenswürdige Netze beschränken. Die Befehle dafür habe ich an meiner Testinstanz geprüft.

Weiterlesen

Zertifikatsbericht per NITRO: warum abgelaufene Zertifikate fehlen

/0 Kommentare/von

Ein Skript fragt über NITRO, die REST-Schnittstelle der NetScaler, alle Zertifikate einer Appliance ab und sortiert sie nach Restlaufzeit. Es läuft ohne Fehler, der Zertifikatsbericht ist sauber formatiert, und trotzdem tauchen abgelaufene Zertifikate darin nicht auf. Der Grund liegt in einem einzigen Feld der API, und die Lösung ist, ein anderes Feld zur Grundlage zu machen.

Weiterlesen

Cross-Zertifikate in der Zertifikatskette: Ersetzen sie ein Intermediate?

/0 Kommentare/von

Die Zertifikatskette von letsencrypt.org besteht aus vier Zertifikaten. Zwei davon tragen den Namen einer Root-CA, sind aber von einer anderen Root-CA ausgestellt. Das sind Cross-Zertifikate. Ein Cross-Zertifikat verbindet zwei Zertifizierungsstellen, damit ein Client einer neuen Root-CA vertrauen kann, obwohl er nur die alte kennt. Seit Let’s Encrypt 2026 auf neue Root-CAs umgestellt hat, steckt in jeder ausgelieferten Kette mindestens eines, und auch die Root-CA von D-Trust aus 2023 und Sectigos Root R46 kommen mit Cross-Zertifikat. Dieser Beitrag erklärt, was ein Cross-Zertifikat technisch ist, wie Clients damit umgehen, wofür es eingesetzt wird und ob es ein Intermediate ersetzt.

Weiterlesen

RDP-Fehler 0xC000000D unter Windows 11: Administrator protection prüfen und gezielt abschalten

/0 Kommentare/von

Benutzer ohne Adminrechte kommen per Remotedesktop nicht mehr auf einen Windows-11-Rechner. Der Client meldet den RDP-Fehler 0xC000000D mit dem Text „The token that was passed to the function is invalid.“ Microsoft hat das am 13.10.2026 als bekanntes Problem bestätigt: Auslöser ist das Vorschau-Update KB5124010 vom 22.09.2026, wenn auf dem Zielrechner die Funktion Administrator protection (deutsch: Administratorschutz) aktiv ist.

Weiterlesen

CVE, CVSS, KEV und EPSS: was die Begriffe im Sicherheitshinweis bedeuten

/0 Kommentare/von

Ein NetScaler-Sicherheitshinweis enthält eine CVE-Nummer, einen CVSS-Wert, eine CWE-Kennung und oft den Satz, dass Ausnutzung beobachtet wurde. Daneben stehen in Meldungen von CISA und BSI Begriffe wie KEV und EPSS. Jede dieser Angaben beantwortet eine andere Frage.

Weiterlesen

NetScaler CVE-2026-107406: SAML-IdP erneut aktualisieren

/0 Kommentare/von

Citrix hat am 8. Oktober 2026 das Sicherheitsbulletin CTX697191 veröffentlicht. Es beschreibt CVE-2026-107406, einen Speicherüberlauf in NetScaler ADC und NetScaler Gateway, der ohne Anmeldung zur Codeausführung oder zum Dienstausfall führen kann. Voraussetzung ist eine SAML-Konfiguration. CVSS 4.0 bewertet die Lücke mit 9.5.

Weiterlesen