Patch-Management im KMU: Lehren aus Citrix und FortiMail

Zwei kritische Schwachstellenmeldungen haben IT-Verantwortliche in den vergangenen zwei Wochen beschäftigt, und beide betreffen Systeme, die direkt am Internet hängen. Citrix hat Ende September Updates für NetScaler ADC und Gateway veröffentlicht, nachdem zwei Zero-Day-Lücken bereits aktiv ausgenutzt wurden. Fast zeitgleich bestätigte Fortinet die Ausnutzung einer kritischen Lücke in FortiMail, für die zunächst noch nicht alle Updates verfügbar waren. (The Hacker News, 02.10.2026)

Für viele mittelständische Unternehmen sind genau diese Geräte das Eingangstor ins Netz: VPN-Gateway, Remote-Zugang, E-Mail-Sicherheit. Dieser Beitrag erklärt, warum Patch-Management im KMU heute mehr bedeutet als „Update einspielen". Die technischen Einzelheiten zu den beiden Lücken stehen im separaten Beitrag zu den aktiv ausgenutzten Schwachstellen. laufende Überwachung Ihrer Systeme

Citrix NetScaler: Zwei Zero-Days, aktiv ausgenutzt

Was bekannt ist

Citrix hat mit dem Bulletin CTX697096 mehrere Schwachstellen in NetScaler ADC und Gateway adressiert. Zwei davon, CVE-2026-88771 und CVE-2026-88772, ermöglichen die Ausführung von Code ohne Authentifizierung und wurden bereits vor der Veröffentlichung aktiv ausgenutzt. (Rapid7; watchTowr)

Laut Palo Alto Networks Unit 42 gab es bereits Anfang September Ausnutzungsversuche, bei denen Angreifer Webshells auf den Geräten ablegten. Nach der Veröffentlichung setzte breit angelegtes Scannen ein. Unit 42 zählte zu diesem Zeitpunkt zehntausende potenziell verwundbare, aus dem Internet erreichbare Instanzen weltweit. (Unit 42)

Die wichtigste Lehre: Gepatcht heißt nicht sauber

Unit 42 betont ausdrücklich, dass ein Update keine Angreifer entfernt, die sich bereits festgesetzt haben. (Unit 42) Die von watchTowr zusammengefasste Empfehlungsreihenfolge lautet deshalb:

1. Beweise sichern (Logs, Snapshot, Support-Bundle), da ein Update Spuren überschreiben kann.
2. Auf Kompromittierung prüfen. Ein unauffälliges Ergebnis beweist allerdings nicht, dass das System sauber ist.
3. Auf die korrigierte Version aktualisieren.
4. Passwörter, Secrets und Zertifikate rotieren, die über das Gerät liefen.
5. Management-Oberflächen nicht aus dem Internet erreichbar machen.

(watchTowr)

FortiMail: Kritische Lücke im Mail-Gateway

Fortinet bestätigte Anfang Oktober die aktive Ausnutzung einer kritischen Schwachstelle in FortiMail. Die Lücke im Dienst für identitätsbasierte Verschlüsselung erlaubt es unauthentifizierten Angreifern, über präparierte HTTP-Anfragen beliebige Dateien zu schreiben, was zur Codeausführung führen kann. Zum Zeitpunkt der Veröffentlichung waren die korrigierten Versionen angekündigt, aber noch nicht für alle Versionsstränge verfügbar. (The Hacker News; Field Effect)

Bis dahin empfahl Fortinet, den betroffenen Dienst wo möglich zu deaktivieren und die Verwaltungsoberfläche auf vertrauenswürdige Netze zu beschränken. Die US-Behörde CISA nahm die Lücke noch am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen auf. (The Hacker News)

Praxis-Tipp: Prüfen Sie, ob die Updates inzwischen für Ihren Versionsstrang verfügbar sind, und gleichen Sie Ihre Systeme mit den veröffentlichten Indikatoren ab.

Alte Lücken, neue Angriffe

Ein dritter Befund der vergangenen Woche geht fast unter: Die CISA nahm fünf Schwachstellen in ihren Katalog auf, die teils über zehn Jahre alt sind, darunter Lücken in Apache Struts, ISC BIND und ProFTPD. (DEV Community)

Die Botschaft: Angreifer nutzen nicht nur die neuesten Zero-Days. Vergessene Server, alte Appliances und nie aktualisierte Dienste sind ebenso lohnend. Gutes Schwachstellenmanagement beginnt deshalb mit einem vollständigen Inventar.

Patch-Management im KMU: Ein realistisches Modell

1. Inventar der Angriffsfläche

Sie können nur schützen, was Sie kennen. Listen Sie alle aus dem Internet erreichbaren Systeme auf: VPN, Firewalls, Mail-Gateways, Webserver, Fernwartungszugänge, Cloud-Dienste. Ein externer Scan oder Penetrationstest deckt regelmäßig Systeme auf, die niemand mehr auf dem Schirm hatte. externer Penetrationstest

2. Priorisierung nach Risiko, nicht nach Eingang

Nicht jede Lücke ist gleich dringend. Eine sinnvolle Priorisierung:

| Priorität | Kriterium | Zielzeit | |---|---|---| | Notfall | Aktiv ausgenutzt und aus dem Internet erreichbar | Stunden bis ein, zwei Tage | | Hoch | Kritisch bewertet, internet-exponiert, noch nicht ausgenutzt | wenige Tage | | Mittel | Intern erreichbar, hohe Bewertung | im regulären Patch-Zyklus | | Niedrig | Geringe Auswirkung, nicht exponiert | nächster Wartungszyklus |

Die Zielzeiten sind Orientierungswerte und sollten an die eigene Risikolage angepasst werden.

3. Notfall-Patch-Prozess vorbereiten

Für Edge-Geräte muss es einen vorab abgestimmten Weg geben, außerhalb des Wartungsfensters zu patchen: Wer entscheidet? Wer führt aus? Gibt es ein Rollback? Ist der Dienstleister erreichbar, auch am Freitagabend?

4. Nach dem Patch: Auf Kompromittierung prüfen

Wie der NetScaler-Fall zeigt, ist bei aktiv ausgenutzten Lücken die wichtigste Frage nicht „Sind wir gepatcht?", sondern „Waren Angreifer schon drin?". Dafür braucht es Logdaten, Expertise und Zeit. Kompromittierungsprüfung und laufende Erkennung

5. Kontinuierliche Überwachung

Zero-Days werden per Definition ausgenutzt, bevor ein Patch existiert. Die einzige Verteidigung in diesem Zeitfenster ist Erkennung: ungewöhnliche Prozesse auf Servern, neue Webshell-Dateien, Verbindungen zu unbekannten Zielen. Eine Überwachung rund um die Uhr schließt genau diese Lücke.

Typische Stolpersteine in der Praxis

Selbst wenn ein Patch-Prozess auf dem Papier existiert, scheitert die Umsetzung oft an denselben Hürden:

• Unklare Zuständigkeit beim Dienstleister: Das Systemhaus betreut die Firewall, der Hersteller-Support das VPN, ein dritter Partner die Mail-Appliance. Im Ernstfall weiß niemand genau, wer das Update einspielt. Halten Sie die Verantwortlichkeiten pro Gerät schriftlich fest.
• Angst vor Ausfällen: Updates werden aufgeschoben, weil das letzte Update einen Ausfall verursacht hat. Testumgebungen, dokumentierte Rollback-Schritte und Wartungsfenster nehmen diese Sorge.
• Ausgelaufene Versionen: Manche Geräte laufen auf Versionssträngen, für die es keine Updates mehr gibt. Solche Migrationen brauchen Vorlauf. (Field Effect)
• Fehlende Logs: Wer keine Protokolle zentral speichert, kann später nicht nachweisen, ob ein Gerät kompromittiert war. Leiten Sie die Logs Ihrer Edge-Geräte an ein zentrales System weiter, wie es auch watchTowr für NetScaler empfiehlt. (watchTowr)

Für NIS-2-pflichtige Unternehmen ist ein geregeltes Schwachstellenmanagement zudem Teil der vorgeschriebenen Risikomanagementmaßnahmen. Ein externer Informationssicherheitsbeauftragter kann helfen, den Prozess zu dokumentieren und gegenüber der Geschäftsleitung nachvollziehbar zu machen. externer ISB

Fazit

Die Ereignisse rund um Citrix NetScaler und FortiMail zeigen, dass Edge-Geräte zu den bevorzugten Zielen von Angreifern gehören. Für KMU heißt das: Inventar kennen, nach Risiko priorisieren, einen Notfallprozess für kritische Updates haben und nach dem Patchen gezielt prüfen, ob bereits jemand im System war.

Wenn Sie unsicher sind, ob Ihre exponierten Systeme betroffen waren, oder Ihr Patch-Management einmal von außen betrachten lassen möchten, unterstützen wir Sie gern. Kontakt aufnehmen

Häufige Fragen

Reicht es, die Citrix-NetScaler-Updates einzuspielen?

Nein. Bei aktiv ausgenutzten Lücken sollten vor dem Update Beweise gesichert und danach gezielt nach Kompromittierungsspuren gesucht werden. Ein Update entfernt keine bereits installierten Webshells oder Hintertüren.

Was ist ein Edge-Gerät?

Ein System an der Grenze zwischen Internet und Unternehmensnetz, etwa VPN-Gateway, Firewall, Mail-Gateway oder Remote-Access-Lösung. Weil diese Geräte direkt erreichbar sind, sind ihre Schwachstellen besonders kritisch.

Wie schnell sollten kritische Sicherheitsupdates eingespielt werden?

Für aktiv ausgenutzte, aus dem Internet erreichbare Schwachstellen empfiehlt sich ein Notfallprozess mit Umsetzung binnen Stunden bis weniger Tage. Weniger kritische Lücken können im regulären Patch-Zyklus behoben werden.

Wo erfahre ich, welche Schwachstellen aktiv ausgenutzt werden?

Gute Quellen sind die Cybersicherheitswarnungen des BSI und der Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA. Ein Managed-Security-Dienstleister kann diese Informationen zusätzlich mit dem eigenen Systeminventar abgleichen.

Quellen

• Rapid7: Zero-Day Exploitation of Citrix NetScaler ADC and Gateway (CVE-2026-88771, CVE-2026-88772) –: https://www.rapid7.com/blog/post/etr-zero-day-exploitation-of-citrix-netscaler-adc-and-gateway-cve-2026-88771-and-cve-2026-88772/
• Unit 42 (Palo Alto Networks): Threat Brief NetScaler Zero Days –: https://unit42.paloaltonetworks.com/netscaler-zero-days-exploited/
• watchTowr: Citrix NetScaler Zero-Day RCE FAQ –: https://watchtowr.com/intelligence/citrix-netscaler-zero-day-vulnerabilities-faq/
• Tenable: FAQ about reported Citrix NetScaler zero-day vulnerabilities –: https://www.tenable.com/blog/frequently-asked-questions-about-reported-citrix-netscaler-zero-day-vulnerabilities
• The Hacker News: Critical FortiMail Zero-Day Flaw Exploited (02.10.2026) –: https://thehackernews.com/2026/10/critical-fortimail-zero-day-flaw.html
• Field Effect: Patches pending for actively exploited FortiMail flaw –: https://fieldeffect.com/blog/patches-pending-actively-exploited-fortimail-flaw
• DEV Community: 5 new CISA KEV entries (5.–11.10.2026) –: https://dev.to/devaland/actively-exploited-this-week-5-new-cisa-kev-entries-5-october-to-11-october-2026-2m9o