CVE-2026-120869: Authentifizierungs-Bypass in Citrix NetScaler Console
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Citrix hat am 12. November 2026 die Schwachstelle CVE-2026-120869 für die Citrix NetScaler Console veröffentlicht. Betroffen sind Versionen vor 14.1-74.34. Eine Fehlerbereinigung ist ab Version 14.1-74.34 verfügbar.
Die Schwachstelle erlaubt es einem nicht angemeldeten Angreifer, über eine HTTP-Anfrage Authentifizierungskontrollen zu umgehen und auf beschränkte Ressourcen der NetScaler Console zuzugreifen. Der dokumentierte CVSS-4.0-Score beträgt 9,3. Zum Zeitpunkt der Veröffentlichung ist keine aktive Ausnutzung von CVE-2026-120869 bekannt.
CVE-2026-120869 betrifft Citrix NetScaler Console in Versionen vor 14.1-74.34. Der Angriffspfad basiert auf einer nicht authentifizierten HTTP-Anfrage, durch die Authentifizierungskontrollen umgangen werden können.
Der veröffentlichte CVSS-4.0-Eintrag beschreibt einen netzwerkbasierten Angriff mit geringer Angriffskomplexität. Für den Zugriff sind keine Privilegien und keine Benutzerinteraktion erforderlich. Die Bewertung weist hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Komponente aus.
Patchstatus prüfen und Zugriff begrenzen
Die vorrangige Maßnahme ist die Aktualisierung der Citrix NetScaler Console auf Version 14.1-74.34 oder höher. Organisationen sollten den Patchstatus und die Betroffenheit ihrer NetScaler-Console-Instanzen prüfen und betroffene Systeme priorisiert aktualisieren.
Falls die Aktualisierung noch nicht eingespielt werden kann, sollte der Netzwerkzugang zum Management-Interface auf vertrauenswürdige Netze beschränkt werden. Diese Maßnahme reduziert mögliche Zugriffspfade bis zur Installation der Fehlerbereinigung.
Citrix NetScaler Console ist in Unternehmen und Behörden im DACH-Raum verbreitet. NIS-2-pflichtige Organisationen in Deutschland und Österreich sowie KRITIS-Betreiber sollten die Schwachstelle im Rahmen ihrer Patch-Management-Prozesse priorisieren — für die Schweiz gelten entsprechende Anforderungen nach dem revidierten Informationssicherheitsgesetz (ISG) mit Meldepflicht ans BACS. Sofern eine erfolgreiche Ausnutzung zu einem Datenschutzvorfall mit Personenbezug führt, besteht nach Art. 33 DSGVO eine Meldepflicht an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden.
Für den laufenden Betrieb gehören die Prüfung von Patchständen, die Priorisierung betroffener Systeme sowie ein kontinuierliches Schwachstellen- und Vendor-Risk-Monitoring in einen geregelten Prozess.
Citrix NetScaler Console ist als Webanwendung extern identifizierbar. Für die Bewertung von CVE-2026-120869 ist daher relevant, welche Instanzen erreichbar sind und ob sie eine Version vor 14.1-74.34 verwenden.
LocateRisk macht extern erreichbare Systeme und eingesetzte Software sichtbar. Dadurch können exponierte NetScaler-Console-Instanzen für die Prüfung und Priorisierung erfasst werden. LocateRisk erkennt nicht zwingend die konkret verwundbare Version; die Verifikation des Patchstands bleibt erforderlich.
Für die längerfristige Steuerung kann die fortlaufende Bewertung von Technologieabhängigkeiten im Cyber Vendor Risk Management ergänzend berücksichtigt werden.
Bin ich betroffen?
Betroffen ist Citrix NetScaler Console in den oben genannten Versionen; behoben wurde die Schwachstelle in 14.1-74.34. Wer wissen will, ob Citrix NetScaler Console in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-120869 ist eine kritische Schwachstelle in der Citrix NetScaler Console, die es einem nicht angemeldeten Angreifer ermöglicht, über eine HTTP-Anfrage Authentifizierungskontrollen zu umgehen und auf beschränkte Ressourcen zuzugreifen. Der CVSS-4.0-Score beträgt 9,3.
Betroffen sind alle Versionen der Citrix NetScaler Console vor 14.1-74.34. Version 14.1-74.34 schließt die Schwachstelle und steht als Fehlerbereinigung bereit.
Die unmittelbare Maßnahme ist die Aktualisierung auf Version 14.1-74.34 oder höher. Ist ein sofortiger Patch nicht möglich, sollte der Netzwerkzugang zum Management-Interface auf vertrauenswürdige Netze beschränkt werden, um den Angriffspfad zu reduzieren.
Stand: 12.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-120869
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français