Verbindung abgelehnt heißt falscher Port, nicht Zertifikat

/0 Kommentare/von

Ein Skript fragt die NetScaler über ihre REST-Schnittstelle NITRO ab, und statt einer Antwort kommt „Verbindung abgelehnt“, englisch „Connection refused“. Weil am Management gerade erst ein neues Zertifikat eingespielt wurde, liegt der Verdacht beim Zertifikat. Diese Meldung entsteht aber eine Schicht tiefer: Sie kommt aus TCP, bevor überhaupt ein Zertifikat übertragen wurde. Dieser Beitrag trennt die Fehlerbilder Ablehnung, Zeitüberschreitung, abgebrochener TLS-Handshake und Zertifikatsfehler und zeigt für jedes einen Prüfbefehl, gemessen an meiner Testinstanz.

Weiterlesen

GSLB-Failover: warum Clients länger am alten Standort bleiben

/0 Kommentare/von

Ein Standort fällt aus. Der Monitor auf der NetScaler erkennt es nach gut zehn Sekunden, GSLB beantwortet die nächste DNS-Anfrage mit dem anderen Standort, alles arbeitet wie konfiguriert. Ein Teil der Clients verbindet sich trotzdem weiter mit dem ausgefallenen Standort. Der GSLB-Failover ist zu diesem Zeitpunkt auf der NetScaler abgeschlossen, bei diesen Clients aber noch nicht angekommen. Dieser Beitrag zeigt, woraus sich die Dauer zusammensetzt, gemessen an meiner Testinstanz.

Weiterlesen

NetScaler und PHP CVE-2026-109618: Management-Zugriff jetzt absichern

/0 Kommentare/von

Citrix hat am 21. Oktober 2026 in den Citrix Techzone Blogs bestätigt, dass NetScaler von zwei kritischen Lücken in PHP betroffen ist: CVE-2026-109618 und CVE-2026-109619. Die Management-Oberfläche des NetScaler läuft auf PHP. Alle unterstützten Versionen sind betroffen, einen behobenen Build gibt es noch nicht. Bis dahin hilft nur eins: den Management-Zugriff auf vertrauenswürdige Netze beschränken. Die Befehle dafür habe ich an meiner Testinstanz geprüft.

Weiterlesen

Zertifikatsbericht per NITRO: warum abgelaufene Zertifikate fehlen

/0 Kommentare/von

Ein Skript fragt über NITRO, die REST-Schnittstelle der NetScaler, alle Zertifikate einer Appliance ab und sortiert sie nach Restlaufzeit. Es läuft ohne Fehler, der Zertifikatsbericht ist sauber formatiert, und trotzdem tauchen abgelaufene Zertifikate darin nicht auf. Der Grund liegt in einem einzigen Feld der API, und die Lösung ist, ein anderes Feld zur Grundlage zu machen.

Weiterlesen

Cross-Zertifikate in der Zertifikatskette: Ersetzen sie ein Intermediate?

/0 Kommentare/von

Die Zertifikatskette von letsencrypt.org besteht aus vier Zertifikaten. Zwei davon tragen den Namen einer Root-CA, sind aber von einer anderen Root-CA ausgestellt. Das sind Cross-Zertifikate. Ein Cross-Zertifikat verbindet zwei Zertifizierungsstellen, damit ein Client einer neuen Root-CA vertrauen kann, obwohl er nur die alte kennt. Seit Let’s Encrypt 2026 auf neue Root-CAs umgestellt hat, steckt in jeder ausgelieferten Kette mindestens eines, und auch die Root-CA von D-Trust aus 2023 und Sectigos Root R46 kommen mit Cross-Zertifikat. Dieser Beitrag erklärt, was ein Cross-Zertifikat technisch ist, wie Clients damit umgehen, wofür es eingesetzt wird und ob es ein Intermediate ersetzt.

Weiterlesen

RDP-Fehler 0xC000000D unter Windows 11: Administrator protection prüfen und gezielt abschalten

/0 Kommentare/von

Benutzer ohne Adminrechte kommen per Remotedesktop nicht mehr auf einen Windows-11-Rechner. Der Client meldet den RDP-Fehler 0xC000000D mit dem Text „The token that was passed to the function is invalid.“ Microsoft hat das am 13.10.2026 als bekanntes Problem bestätigt: Auslöser ist das Vorschau-Update KB5124010 vom 22.09.2026, wenn auf dem Zielrechner die Funktion Administrator protection (deutsch: Administratorschutz) aktiv ist.

Weiterlesen

CVE, CVSS, KEV und EPSS: was die Begriffe im Sicherheitshinweis bedeuten

/0 Kommentare/von

Ein NetScaler-Sicherheitshinweis enthält eine CVE-Nummer, einen CVSS-Wert, eine CWE-Kennung und oft den Satz, dass Ausnutzung beobachtet wurde. Daneben stehen in Meldungen von CISA und BSI Begriffe wie KEV und EPSS. Jede dieser Angaben beantwortet eine andere Frage.

Weiterlesen

NetScaler CVE-2026-107406: SAML-IdP erneut aktualisieren

/0 Kommentare/von

Citrix hat am 8. Oktober 2026 das Sicherheitsbulletin CTX697191 veröffentlicht. Es beschreibt CVE-2026-107406, einen Speicherüberlauf in NetScaler ADC und NetScaler Gateway, der ohne Anmeldung zur Codeausführung oder zum Dienstausfall führen kann. Voraussetzung ist eine SAML-Konfiguration. CVSS 4.0 bewertet die Lücke mit 9.5.

Weiterlesen

NetScaler CVE-2026-88779: SAML-Konfiguration prüfen

/0 Kommentare/von

Citrix hat am 3. Oktober 2026 das Sicherheitsbulletin CTX697174 veröffentlicht. Es beschreibt CVE-2026-88779, einen Speicherüberlauf in NetScaler ADC und NetScaler Gateway, der ohne Anmeldung zum Dienstausfall führt. Voraussetzung ist eine SAML-Konfiguration als Service Provider oder als Identity Provider. Citrix hat gezielte Angriffe beobachtet, CISA führt die Lücke seit dem 4. Oktober im Katalog ausgenutzter Schwachstellen.

Weiterlesen

Dein Patchtest hat die Sitzung offen gelassen

/0 Kommentare/von

Der Testserver lief drei Tage mit dem kumulativen Windows-Update von Microsoft vom 8. September 2026. Keine Auffälligkeit. Also ging das Update in die Fläche.

Weiterlesen