NetScaler & FortiMail: Jetzt patchen – Lücken aktiv ausgenutzt

Gleich zwei Hersteller, deren Produkte in vielen deutschen Unternehmensnetzen am Perimeter stehen, mussten in den vergangenen Tagen Notfall-Patches veröffentlichen: Citrix für NetScaler ADC und NetScaler Gateway, Fortinet für die E-Mail-Security-Appliance FortiMail. Beide Schwachstellen haben eines gemeinsam – sie werden bereits aktiv ausgenutzt, noch bevor viele Unternehmen überhaupt von ihnen gehört haben. Die US-Cybersicherheitsbehörde CISA hat beide Lücken in ihren Katalog bekannt ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen.

Für IT-Verantwortliche in kleinen und mittleren Unternehmen ist das ein klassischer Stresstest: Wer erfährt rechtzeitig von solchen Warnungen, bewertet die eigene Betroffenheit und spielt Patches ein, bevor automatisierte Scans der Angreifer das eigene System finden? In diesem Beitrag fassen wir die Fakten zu beiden Schwachstellen zusammen und zeigen, wie ein belastbares Schwachstellenmanagement in KMU aussieht.

Citrix NetScaler: Zero-Day CVE-2026-88779 wird aktiv ausgenutzt

Citrix hat am Wochenende (5. Oktober 2026) außerplanmäßige Updates für NetScaler ADC und NetScaler Gateway veröffentlicht. Die Schwachstelle CVE-2026-88779 ist mit einem CVSS-4.0-Wert von 8,7 als hochriskant eingestuft. Citrix selbst klassifiziert das Problem als Denial-of-Service-Fehler, der zu Abstürzen und Neustarts der Appliances führt – Sicherheitsforscher berichten jedoch von verdächtigen Mustern, die auf potenziell weitergehende Auswirkungen bis hin zur Codeausführung hindeuten könnten; eine unabhängige Bestätigung steht noch aus (heise Security, Blogspan).

Entscheidend für die Risikobewertung: Die CISA führt die Lücke seit dem 4. Oktober als aktiv ausgenutzt. Betroffen sind NetScaler ADC und Gateway 14.1 vor Build 14.1-73.41 sowie 13.1 vor Build 13.1-64.28, einschließlich der FIPS-Varianten.

Besonders brisant: Die zweite NetScaler-Lücke binnen weniger Wochen

Die aktuelle Zero-Day-Lücke trifft viele Administratoren mitten in der Aufarbeitung einer vorherigen Warnung: Bereits im September hatte das BSI vor einem Authentifizierungs-Bypass in NetScaler ADC und Gateway gewarnt (CVE-2026-19490, CVSS 9,3), der unter bestimmten Konfigurationen unbefugten Zugriff ohne Anmeldung ermöglicht. Auch diese Lücke wurde aktiv ausgenutzt, ein öffentlicher Proof-of-Concept kursiert auf GitHub (Security-Insider).

Wer eine NetScaler-Appliance betreibt, sollte deshalb jetzt dreierlei tun: die aktuellen Builds einspielen, Konfigurationen mit SAML-Authentifizierung priorisiert prüfen und die Protokolle der letzten Tage auf unerklärliche Neustarts, Ausfallzeiten oder ungewöhnliche Anmeldevorgänge durchsehen. Ein erfolgreicher Patch beseitigt die Lücke – nicht aber einen Angreifer, der bereits vor dem Patch eingedrungen ist.

FortiMail: Kritische Lücke CVE-2026-104286 mit CVSS 9,8

Fast zeitgleich wurde eine kritische Schwachstelle in Fortinets E-Mail-Gateway FortiMail bekannt. CVE-2026-104286 erreicht einen CVSS-Wert von 9,8: Über präparierte HTTP- oder HTTPS-Anfragen können nicht authentifizierte Angreifer per Path Traversal beliebige Dateien auf dem System schreiben – eine Vorstufe zur vollständigen Übernahme der Appliance. Betroffen sind die FortiMail-Versionen 7.2.0 bis 8.0.1; die Lücke wird laut CISA bereits aktiv ausgenutzt (The Hacker News, 02.10.2026).

Sofortmaßnahmen für FortiMail-Betreiber

Fortinet empfiehlt das Update auf die bereinigten Versionen (8.0.2, 7.6.7 bzw. 7.4.9). Wo das nicht sofort möglich ist, sollte die IBE-Funktion (Identity-Based Encryption) per CLI deaktiviert und der Zugriff auf das Management-Interface strikt auf vertrauenswürdige interne Netze beschränkt werden. Dass die US-Bundesbehörden ihre Systeme bereits bis zum 4. Oktober patchen mussten, zeigt, wie ernst die Lage eingeschätzt wird.

Ein E-Mail-Gateway ist dabei ein besonders attraktives Ziel: Wer es kontrolliert, liest nicht nur den Mailverkehr mit, sondern kann Phishing-Filter aushebeln und sich im Namen des Unternehmens an Kunden und Partner wenden.

Warum gerade Perimeter-Systeme im Fokus der Angreifer stehen

NetScaler, FortiMail, Firewalls, VPN-Gateways: Sogenannte Edge-Geräte sind aus dem Internet erreichbar, verarbeiten Anmeldedaten und stehen oft jahrelang ungepatcht im Rechenzentrum – eine ideale Kombination aus Erreichbarkeit und Wirkung. Ransomware-Gruppen nutzen genau diese Systeme seit Jahren als bevorzugten Erstzugang. Auch die aktuelle Bitdefender-Analyse zur Bedrohungslage nennt Schwachstellen am Netzwerkrand als persistentes Risiko, gerade für kleine und mittlere Unternehmen (it-daily).

Das Zeitfenster zwischen Veröffentlichung einer Schwachstelle und ihrer massenhaften Ausnutzung ist dabei auf Stunden bis wenige Tage geschrumpft. Ein monatlicher Patch-Zyklus reicht für diese Geräteklasse schlicht nicht mehr aus.

Patch-Management in KMU: Vom Reagieren zum strukturierten Prozess

Die ehrliche Frage für Geschäftsführung und IT-Leitung lautet: Hätten wir von diesen beiden Lücken innerhalb von 24 Stunden erfahren – und hätten wir gewusst, ob wir betroffen sind? Ein tragfähiges Schwachstellenmanagement für den Mittelstand braucht keine Enterprise-Bürokratie, aber vier Dinge:

Erstens ein aktuelles Inventar: Welche Systeme sind aus dem Internet erreichbar, welche Software-Stände laufen darauf? Ohne diese Übersicht bleibt jede Warnung abstrakt.

Zweitens priorisierte Bewertung: Nicht jede CVE ist relevant. Aktiv ausgenutzte Schwachstellen auf exponierten Systemen gehören in die Kategorie „sofort", unabhängig vom regulären Wartungsfenster. Der CISA-KEV-Katalog und die BSI-Cybersicherheitswarnungen sind dafür verlässliche, kostenlose Indikatoren.

Drittens definierte Reaktionswege: Wer entscheidet über ein Notfall-Patching außerhalb der Geschäftszeiten? Wer prüft nach dem Patch die Logs auf Kompromittierungsspuren?

Viertens Detektion für den Fall der Fälle: Da zwischen Exploit und Patch oft Tage liegen, braucht es eine zweite Verteidigungslinie. Ein 24/7-Monitoring erkennt verdächtige Aktivitäten auf und hinter den Edge-Systemen, bevor aus einem Erstzugang eine Verschlüsselung wird. Managed Detection & Response von Valyros

Regelmäßige Penetrationstests ergänzen diesen Prozess, weil sie genau die exponierten Systeme aus Angreifersicht prüfen und Konfigurationsfehler finden, die kein Patch behebt. Penetrationstest für KMU

Und wenn die Log-Prüfung tatsächlich Auffälligkeiten zeigt – etwa unerklärliche Neustarts einer NetScaler-Appliance seit Ende September – ist strukturierte Incident Response gefragt, nicht hektisches Neuinstallieren. Incident Response im Ernstfall

Checkliste: Das sollten Sie diese Woche erledigen

• Prüfen, ob NetScaler ADC/Gateway oder FortiMail im Einsatz sind (auch bei IT-Dienstleistern und in Tochterfirmen nachfragen)
• NetScaler auf Build 14.1-73.41 bzw. 13.1-64.28 aktualisieren, FortiMail auf 8.0.2 / 7.6.7 / 7.4.9
• Logs seit Ende September auf Neustarts, Ausfälle und ungewöhnliche Zugriffe prüfen
• Management-Interfaces generell nie direkt aus dem Internet erreichbar machen
• Abonnieren der BSI-Cybersicherheitswarnungen, falls noch nicht geschehen
• Intern klären: Wie schnell könnten wir heute ein Notfall-Patch einspielen?

Fazit: Geschwindigkeit entscheidet

Die beiden aktuellen Fälle zeigen exemplarisch, wie kurz die Reaktionszeit geworden ist: Zwischen Bekanntwerden, aktiver Ausnutzung und verfügbarem Patch lagen jeweils nur Tage. Unternehmen, die Warnungen systematisch verfolgen, ihre Angriffsfläche kennen und rund um die Uhr auf Anomalien achten, machen aus einer kritischen Schwachstelle einen Routinevorgang – alle anderen verlassen sich auf Glück.

Wenn Sie unsicher sind, ob Ihr Unternehmen aktiv ausgenutzte Schwachstellen rechtzeitig erkennt und schließt, sprechen Sie uns gern an – in einem unverbindlichen Gespräch zeigen wir, wie 24/7-Monitoring und strukturiertes Schwachstellenmanagement auch für mittelständische IT-Umgebungen praktikabel werden. Kontakt zu Valyros

Häufige Fragen

Was bedeutet „aktiv ausgenutzt" bei einer Schwachstelle?

Es bedeutet, dass Angriffe auf diese Lücke bereits in der Praxis beobachtet wurden – nicht nur theoretisch möglich sind. Kataloge wie die CISA-KEV-Liste dokumentieren solche Fälle. Für die Priorisierung im Patch-Management ist das der wichtigste Indikator: Diese Lücken müssen sofort geschlossen werden.

Wir haben gepatcht – sind wir damit sicher?

Nicht automatisch. Wenn die Lücke vor dem Patch ausgenutzt wurde, kann ein Angreifer bereits im Netz sein. Nach dem Einspielen sollten Logs und Systeme auf Kompromittierungsspuren geprüft werden – bei NetScaler etwa auf unerklärliche Neustarts, neue Administratorkonten oder ungewöhnliche Sitzungen.

Woher weiß ich als Geschäftsführer, ob mein Unternehmen betroffen ist?

Fragen Sie Ihre IT oder Ihren Dienstleister konkret: „Setzen wir NetScaler oder FortiMail ein, und sind die Oktober-Patches installiert?" Wenn die Antwort länger als einen Tag dauert, fehlt ein Asset-Inventar – das ist dann das eigentliche Problem, das Sie angehen sollten.

Reicht eine Firewall nicht aus, um solche Angriffe zu stoppen?

Nein – in beiden aktuellen Fällen ist das angegriffene System selbst Teil der Sicherheitsinfrastruktur und bestimmungsgemäß aus dem Internet erreichbar. Schutz entsteht hier durch schnelles Patchen, gehärtete Konfiguration und ein Monitoring, das Missbrauch erkennt.

Quellen

• [heise Security: Netscaler-Admins aufgepasst – Zero-Day verursacht Crashes und Codeausführung](: https://www.heise.de/news/Netscaler-Admins-aufgepasst-Zero-Day-verursacht-Crashes-und-Codeausfuehrung-11474971.html)
• [Blogspan: NetScaler-Patch für CVE-2026-88779 (05.10.2026)](: https://blogspan.net/netscaler-patch-cve-2026-88779)
• [Security-Insider: BSI warnt – NetScaler-Bypass in ADC & Gateway aktiv ausgenutzt](: https://www.security-insider.de/bsi-warnung-netscaler-authentifizierungs-bypass-adc-gateway-a-3b12a541f2a130a759f90ef5c6afa980/)
• [The Hacker News: Critical FortiMail Zero-Day Flaw Exploited in Attacks (02.10.2026)](: https://thehackernews.com/2026/10/critical-fortimail-zero-day-flaw.html)
• [it-daily: Hohe Ransomware-Aktivität in DACH (Bitdefender-Analyse)](: https://www.it-daily.net/shortnews/hohe-ransomware-aktivitaet-dach)
• [BSI: Cyber-Sicherheitswarnungen](: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Technische-Sicherheitshinweise-und-Warnungen/Cyber-Sicherheitswarnungen/cyber-sicherheitswarnungen_node.html)