NetScaler-Builds und Sicherheitsstand: welcher Build welche CVE schließt
Diese Seite fasst zusammen, welcher NetScaler-Build welche Sicherheitslücke schließt. Sie wird bei jedem neuen Sicherheitsbulletin von Citrix aktualisiert, das Datum steht direkt darunter.
Stand: 14.10.2026. Grundlage sind die Bulletins CTX697096, CTX697174 und CTX697191.
Mindestbuild je Zweig
| Zweig | Mindestbuild | schließt |
|---|---|---|
| 14.1 | 14.1-73.46 | alle drei Bulletins seit September 2026 |
| 13.1 | 13.1-64.29 | alle drei Bulletins seit September 2026 |
| 14.1-FIPS | 14.1-73.46 FIPS | alle drei Bulletins seit September 2026 |
| 13.1-FIPS / NDcPP | 13.1-37.283 | alle drei Bulletins seit September 2026 |
| 13.0 und 12.1 | kein behobener Build | Zweige ohne Wartung, Wechsel auf 13.1 oder 14.1 |
Ein höherer Build im selben Zweig enthält die Korrekturen der niedrigeren. Wer auf dem Mindestbuild steht, hat damit auch die Bulletins vom März (CTX696300) und August (CTX696939) abgedeckt.
Bulletins seit September 2026
| Datum | Bulletin | CVE | ausgenutzt | behoben ab 14.1 / 13.1 | Beitrag |
|---|---|---|---|---|---|
| 08.10.2026 | CTX697191 | CVE-2026-107406 (CVSS 9.5) | nicht bekannt (Stand 14.10.) | 14.1-73.46 / 13.1-64.29 | SAML-IdP erneut aktualisieren |
| 03.10.2026 | CTX697174 | CVE-2026-88779 | ja, CISA KEV seit 04.10. | 14.1-73.41 / 13.1-64.28 | SAML-Konfiguration prüfen |
| 27.09.2026 | CTX697096 | CVE-2026-88771 bis 88778 | ja, 88771 und 88772 | 14.1-73.37 / 13.1-64.23 | Betroffenheit prüfen, Angriffsspuren in den Logs |
FIPS und NDcPP haben eigene Fix-Builds, sie stehen in den verlinkten Beiträgen.
Was ein Build offen lässt
| Build 14.1 / 13.1 | CTX697096 (88771 bis 88778) | CTX697174 (88779) | CTX697191 (107406) |
|---|---|---|---|
| unter 14.1-73.37 / 13.1-64.23, etwa der Augustbuild 14.1-73.32 | offen | offen | offen |
| 14.1-73.37 / 13.1-64.23 | geschlossen | offen | offen, wenn die Appliance SAML-IdP ist |
| 14.1-73.41 / 13.1-64.28 | geschlossen | geschlossen | offen, wenn die Appliance SAML-IdP ist |
| ab 14.1-73.46 / 13.1-64.29 | geschlossen | geschlossen | geschlossen |
„Offen“ heißt: Der Build ist verwundbar. Ob eine Appliance tatsächlich betroffen ist, hängt bei mehreren dieser CVEs zusätzlich von der Konfiguration ab, etwa von SAML, DTLS oder der Rolle als Gateway. Die Prüfbefehle dazu stehen jeweils im Beitrag zum Bulletin.
Den eigenen Build prüfen
Auf der NetScaler-CLI, nur lesend:
show ns versionDie Ausgabe sieht so aus:
NetScaler NS14.1: Build 73.46.nc, Date: ...NS14.1: Build 73.46.nc und 14.1-73.46 bezeichnen denselben Stand. Die Bulletins verwenden die zweite Schreibweise. Für eine Prüfung vieler Appliances über die NITRO-Schnittstelle gibt es im Beitrag zu CVE-2026-88771 bis 88778 ein PowerShell-Skript, das Build und Konfiguration je CVE bewertet.
In einem HA-Paar müssen beide Knoten auf dem Mindestbuild stehen. Nach einem Failover läuft sonst wieder der ältere Build.
Was die Begriffe bedeuten
CVE, CVSS, KEV und die Angabe „ausgenutzt“ sind im Beitrag CVE, CVSS, KEV und EPSS: was die Begriffe im Sicherheitshinweis bedeuten erklärt.
Änderungen an dieser Seite
| Datum | Änderung |
|---|---|
| 14.10.2026 | Seite angelegt. Stand CTX697096, CTX697174, CTX697191 |
Maßgeblich sind die Sicherheitsbulletins von Citrix. Diese Übersicht fasst sie zusammen und ersetzt sie nicht.