In dieser Ausgabe steht eine große Patchrunde von Citrix im Mittelpunkt: NetScaler ADC und Gateway erhalten Updates für eine Reihe kritischer Speicherlücken, von denen eine jede Installation betrifft, auch in der Standardkonfiguration. Zudem erweist sich der Hotfix von N-able für N-central als unzureichend, denn ein neuer Exploit wird bereits auf gepatchten Servern ausgenutzt. Außerdem schließt Ivanti eine kritische SQL-Injection-Lücke in Endpoint Manager, es gibt einen öffentlichen Exploit für eine ungepatchte Windows-Lücke, die SYSTEM-Rechte verschafft, und Angreifer missbrauchen einen gefälschten Teams-Terminplaner, um per Device Code Phishing Microsoft-365-Konten zu übernehmen.
- Citrix schließt kritische Lücken in NetScaler ADC, Gateway und Console
- N-able N-central: Neuer Exploit umgeht Hotfix und wird jetzt aktiv ausgenutzt
- Kritische SQL-Injection-Lücke in Ivanti Endpoint Manager ermöglicht Übernahme ohne Anmeldung
- SignDrop: Öffentlicher Exploit für ungepatchte Windows-Lücke verschafft SYSTEM-Rechte
- Angreifer tarnen Device Code Phishing als Teams-Terminplaner
Citrix schließt kritische Lücken in NetScaler ADC, Gateway und Console
| Schwachstelle | Reihe von Speicherlücken in NetScaler ADC und NetScaler Gateway 14.1 vor 14.1-73.57, 13.1 vor 13.1-64.39, ADC 14.1-FIPS vor 14.1-73.58 FIPS und 13.1-FIPS/NDcPP vor 13.1-37.293. Zudem eine Authentifizierungsumgehung in NetScaler Console 14.1 vor 14.1-74.34 sowie eine Rechteausweitung im Secure Access Client für Windows und Linux |
| CVE-Nummer | Unter anderem CVE-2026-120868 (alle Installationen), CVE-2026-107412 (Gateway und AAA), CVE-2026-120869 (Console), CVE-2026-118268 und CVE-2026-118269 (Secure Access Client) |
| CVSS-Score | 9,3 (CVE-2026-120868), 9,5 (CVE-2026-107412), 9,4 (CVE-2026-120869), 8,5 (Secure Access Client) |
| Aktiv ausgenutzt | Nein, Citrix ist am 12. November keine Ausnutzung bekannt, und es gibt keinen bestätigten öffentlichen Proof of Concept |
| Patch verfügbar | Ja: ADC und Gateway 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS und 13.1-37.293; Console 14.1-74.34; Secure Access Client Windows 26.11.1.6 und Linux 26.10.4 |
Wie kann die Schwachstelle ausgenutzt werden?
Cloud Software Group veröffentlichte am 12. November Bulletins zu insgesamt 28 Speicherfehlern in NetScaler ADC und Gateway, so CERT-EU. Die schwerwiegendste Lücke steckt im Kern der Paketverarbeitung: Dafür ist weder eine Anmeldung noch eine spezielle Funktion nötig, sodass jede Installation gefährdet ist. Eine zweite Reihe von Überläufen ist ohne Authentifizierung auf Geräten erreichbar, die als Gateway (SSL VPN, ICA Proxy, CVPN oder RDP Proxy) oder als AAA-Server eingerichtet sind. Andere Lücken hängen von Funktionen wie SAML, LDAP, Email OTP, Endpoint Analysis, DNS-over-HTTPS und HTTP/2 ab. In NetScaler Console kann ein Angreifer ohne Anmeldung die Authentifizierungsprüfung umgehen, berichtet The Hacker News. Laut Citrix gehen die Fixes auf eine tiefergehende Codeprüfung mit KI-gestützter Analyse zurück; unter den Meldenden sind laut dem Citrix-Bulletin auch Forscher unter anderem von watchTowr.
Welche Folgen kann das haben?
Citrix beschreibt die Auswirkungen als unvorhersehbares Verhalten und Denial of Service. Bei Speicherüberläufen in einer Appliance am Netzwerkrand ist das ein beunruhigendes Bild: Frühere NetScaler-Lücken wurden kurz nach ihrer Veröffentlichung ausgenutzt, und ein Ausfall des Gateways legt den externen Zugang einer ganzen Organisation lahm. Über die Lücke im Secure Access Client kann ein normaler Benutzer an einem Arbeitsplatzrechner SYSTEM- oder Root-Rechte erlangen.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie alle selbst verwalteten NetScaler-ADC- und Gateway-Appliances auf die gepatchten Builds, und beginnen Sie mit den Geräten, die als Gateway oder AAA-Server am Internet hängen. Von Citrix verwaltete Cloud-Dienste aktualisiert der Hersteller selbst. Betreiben Sie NetScaler Console in einem abgeschotteten Managementnetz, patchen Sie sie gleich mit, und verteilen Sie den neuen Secure Access Client auf die Arbeitsplätze. Das niederländische NCSC hat eine eigene Empfehlung zu den Updates veröffentlicht.
N-able N-central: Neuer Exploit umgeht Hotfix und wird jetzt aktiv ausgenutzt
| Schwachstelle | „4EverAble2Shell“: Kombination einer Apache-Axis-Lücke mit einer Rechteausweitung in N-central, mit der ein Angreifer ohne Anmeldung Root-Rechte auf On-Premises-N-central-Servern erlangt, auch unter 2026.4 Hotfix 2 (Build 2026.4.1.26). Voraussetzung ist, dass die Legacy API aktiviert ist. Gehostete Umgebungen sind laut N-able nicht betroffen |
| CVE-Nummer | CVE-2026-90436 (Apache Axis); für die Rechteausweitung in N-central wurde keine CVE vergeben (Previdian: VULN-2026-0009) |
| CVSS-Score | 9,8 (CVE-2026-90436) |
| Aktiv ausgenutzt | Ja, seit 12. November, 09:16 UTC; Huntback zählte an diesem Tag 21 Server mit einem Cryptominer, davon 19 bereits mit Hotfix 2 |
| Patch verfügbar | Nein, N-able arbeitet an zusätzlichen Fixes. Maßnahme: Legacy API deaktivieren (standardmäßig aus); N-able hat die Intune-Integration deaktiviert |
Wie wurde das ausgenutzt?
Im Patchwork vom Donnerstag berichteten wir, dass N-able einen Hotfix für die geleakten Zero-Days in N-central veröffentlicht hatte. Am selben Tag veröffentlichte der Forscher Sean Bales neue Exploits, die auch gegen diesen Hotfix funktionieren. Laut Huntback erschien der Exploit um 03:58 UTC, der erste erfolgreiche Angriff mit Root-Eskalation folgte um 09:16 UTC. Um 12:50 UTC schürften 21 N-central-Server für die Angreifer, unter anderem in den USA, Großbritannien, Deutschland, Frankreich und Schweden. BleepingComputer berichtet, dass auch Previdian die Angriffe beobachtet hat. Ein zweiter Exploit, „Agent2Shell“, soll laut dem Forscher die Ausführung als SYSTEM auf verwalteten Windows-Agents ermöglichen, sofern der Angreifer die Appliance-ID kennt, schreibt The Hacker News.
Welche Folgen kann das haben?
Die Angreifer installieren vorerst einen XMRig-Miner. Mit Root-Rechten auf dem RMM-Server steht jedoch der Weg in jede verwaltete Kundenumgebung offen.
Was sollten IT-Administratoren jetzt tun?
Prüfen Sie umgehend, ob die Legacy API deaktiviert ist, und aktualisieren Sie Agents und Probes gemäß den früheren Hotfix-Anweisungen. Suchen Sie nach POST-Anfragen an /dms/services/ServerUI mit jline.internal.TerminalLineSettings, nach /tmp/.xvd oder /var/tmp/.xvd, einem systemd-Service xvd.service, /etc/cron.d/xvd sowie nach Verbindungen zu 157.20.241[.]16. Werten Sie einen Treffer als vollständige Kompromittierung des Servers.
Kritische SQL-Injection-Lücke in Ivanti Endpoint Manager ermöglicht Übernahme ohne Anmeldung
| Schwachstelle | SQL-Injection im Core von Ivanti Endpoint Manager (EPM) vor 2024 SU8, die zur Remote-Codeausführung ohne Anmeldung führen kann. Zudem überträgt der EPM-Agent in denselben Versionen sensible Daten unverschlüsselt |
| CVE-Nummer | CVE-2026-121653 (SQL-Injection), CVE-2026-18128 (unverschlüsselter Datenverkehr des Agents) |
| CVSS-Score | 9,8 (CVE-2026-121653) |
| Aktiv ausgenutzt | Nein, Ivanti ist am 12. November keine Ausnutzung bekannt |
| Patch verfügbar | Ja, EPM 2024 SU8 |
Wie kann die Schwachstelle ausgenutzt werden?
Laut der Empfehlung des NCSC kann ein entfernter Angreifer ohne Anmeldung bösartige SQL-Befehle in den Core von EPM einschleusen, was die Ausführung beliebigen Codes zur Folge haben kann. Die zweite Lücke steckt im Agent: Er überträgt sensible Informationen unverschlüsselt, sodass ein Angreifer in einer Man-in-the-Middle-Position HTTP-Datenverkehr abfangen, mitlesen und verändern kann. Details finden Sie im Sicherheitsbulletin von Ivanti.
Welche Folgen kann das haben?
Mit EPM verwalten Organisationen Laptops, Smartphones und Server und verteilen Software und Updates, merkt die niederländische Sicherheitsplattform Security.nl an. Ein übernommener EPM-Server verschafft einem Angreifer damit einen Kanal zu allen verwalteten Geräten. EPM war in der Vergangenheit bereits mehrfach Ziel von Angriffen.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie EPM auf 2024 SU8, sowohl den Core als auch die Agents. Sorgen Sie dafür, dass der EPM-Server nicht unnötig aus dem Internet erreichbar ist, und prüfen Sie die Logs des Core auf ungewöhnliche Datenbankanfragen.
SignDrop: Öffentlicher Exploit für ungepatchte Windows-Lücke verschafft SYSTEM-Rechte
| Schwachstelle | Lokale Rechteausweitung über die Authentifizierungsmitigation des Common-Log-File-System-Treibers (CLFS) in Windows. Getestet unter Windows 11 26H2 und Windows Server 2025 (Experimental); der Forscher schätzt, dass rund 80 Prozent der Windows-Installationen verwundbar sind |
| CVE-Nummer | Keine CVE vergeben |
| Aktiv ausgenutzt | Nein, nicht gemeldet; der Proof of Concept ist seit 12. November öffentlich auf GitHub verfügbar |
| Patch verfügbar | Nein, Microsoft hat noch kein Update und keinen Workaround veröffentlicht |
Wie kann die Schwachstelle ausgenutzt werden?
Der Forscher Abdelhamid Naceri, bekannt als Nightmare Eclipse, veröffentlichte den Exploit, ohne Microsoft vorab zu informieren, berichtet BleepingComputer. Die Lücke steckt in der Mitigation, die Microsoft im Oktober 2025 in CLFS eingeführt hat. Die Zugriffsprüfung greift beim Anlegen einer Logdatei, doch ein privilegierter Prozess wie Windows Defender kann später gezwungen werden, die Datei zu öffnen, woraufhin eine Authentifizierungsdatei mit SYSTEM-Rechten entsteht. Laut The Hacker News behauptet der Forscher, dass die Technik auch den Manipulationsschutz von Sicherheitssoftware umgehen kann.
Welche Folgen kann das haben?
Ein Angreifer, der bereits als normaler Benutzer Code ausführen kann, etwa nach einem Phishing-Anhang, kann bis zur vollständigen Kontrolle über das System vordringen. Mit einem fertigen Exploit auf GitHub ist die Hürde für eine Ausnutzung niedrig.
Was sollten IT-Administratoren jetzt tun?
Prüfen Sie den Registry-Wert HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode: Der Wert 0 oder 1 bedeutet laut dem Forscher, dass das System verwundbar ist. Deaktivieren Sie die CLFS-Mitigation nicht, denn sonst werden Systeme wieder anfällig für ältere Speicherangriffe. Lassen Sie Ihre EDR verdächtige Prozesse, die SYSTEM-Rechte erhalten, genau überwachen, und verteilen Sie das Update, sobald Microsoft es veröffentlicht.
Angreifer tarnen Device Code Phishing als Teams-Terminplaner
| Schwachstelle | Missbrauch der Device-Code-Anmeldung von Microsoft 365 über einen nachgebauten „Microsoft Teams Meeting Scheduler“, wobei der Device Code als Buchungsreferenz ausgegeben wird. Es handelt sich um den Missbrauch bestehender Funktionen; ein Softwarefehler liegt nicht vor |
| CVE-Nummer | Keine CVE vergeben |
| Aktiv ausgenutzt | Ja, von Huntress im Oktober 2026 bei einem Bauunternehmen beobachtet und am 12. November beschrieben |
| Patch verfügbar | Nein, nicht zutreffend. Maßnahme: Device-Code-Anmeldung mit Conditional Access einschränken und phishingresistente MFA erzwingen |
Wie wurde das ausgenutzt?
Laut Huntress (Andrea Hatcher, Matt Poto und Lindsey O’Donnell-Welch) erhielt ein Mitarbeiter eine E-Mail von einer Typosquatting-Domain, die sich als Geschäftsführer eines anderen Bauunternehmens ausgab. Der Link führte über Microsoft Safe Links und einen Google-Kurzlink zu einem nachgebauten Teams-Planer. Nach der Auswahl eines Zeitpunkts forderte das Backend der Seite einen echten Microsoft Device Code an und zeigte ihn als „Booking Reference“ an. Der Code wurde in die Zwischenablage kopiert, und ein Pop-up öffnete die legitime Microsoft-Anmeldeseite. Indem das Opfer den Code dort eingab, genehmigte es die Sitzung des Angreifers. Anschließend landete das Opfer auf einer Calendly-Seite. Bei einem MFA-Fehler startete das Kit automatisch eine neue Sitzung, und die Phishing-Seite war verschlüsselt, sodass Scanner ohne JavaScript nichts sahen, berichtet Help Net Security.
Welche Folgen kann das haben?
Der Angreifer erhielt ein gültiges Sitzungstoken für das Microsoft-365-Konto und meldete sich über einen Residential Proxy an, sodass der Datenverkehr wie gewöhnlicher Privatkundenverkehr aussah. Damit ist der Zugriff auf E-Mails und Dateien möglich, ohne dass das Passwort bekannt ist.
Was sollten IT-Administratoren jetzt tun?
Blockieren oder beschränken Sie den Device-Code-Flow mit Conditional Access in Tenants, in denen er nicht benötigt wird, und erzwingen Sie phishingresistente MFA. Durchsuchen Sie die Anmeldeprotokolle nach programmatischen User Agents wie python-requests und node, nach Anmeldungen von nicht verwalteten Geräten und über Residential Proxys sowie nach Cmsi:Cmsi-Anmeldungen beim Microsoft Authentication Broker. Prüfen Sie bei einem vermuteten Einbruch auf neue MFA-Methoden, unbekannte Geräte, App-Berechtigungen und verdächtige Postfachregeln.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
