Citrix NetScaler: SAML-⁠Problem – Gateway-Konfiguration gezielt prüfen

Citrix untersucht ein neues Problem mit der SAML-⁠Authentifizierung in kundenseitig verwalteten NetScaler-⁠Installationen. Berichte über Abstürze gibt es auch von Appliances, auf denen das Notfall-⁠Update von Ende September installiert war; betroffen ist nach der bisherigen Eingrenzung jedoch nicht jede Installation, sondern eine bestimmte Konfiguration.

Die SAML-⁠Konfiguration grenzt den möglichen Kreis ein

Citrix hat am 2. Oktober 2026 mitgeteilt, dass Entwicklungs-⁠ und Support-⁠Teams ein neu festgestelltes Problem bei SAML-⁠Authentifizierungen untersuchen. Relevant sind NetScaler-⁠Bereitstellungen, die SAML zusammen mit Gateway-⁠ oder AAA-⁠Funktionen verwenden. Die Prüfung sollte deshalb bei der Konfiguration ansetzen und nicht allein beim installierten Firmwarestand.

SAML steht für Security Assertion Markup Language. Der Standard ermöglicht den Austausch von Authentifizierungs-⁠ und Autorisierungsdaten zwischen verschiedenen Systemen. In den hier beschriebenen NetScaler-⁠Umgebungen ist entscheidend, ob SAML für einen virtuellen Gateway-⁠ oder AAA-⁠Server eingerichtet wurde. Citrix nennt als Konfigurationsmuster `add authentication samlAction.` und `add authentication samlIdPProfile.`. Ist mindestens eines davon vorhanden, gehört die Installation nach der beschriebenen Eingrenzung in den Kreis, den Betreiber näher prüfen sollten.

Das ist eine gezieltere Frage als „Ist NetScaler installiert?“. Ein Unternehmen kann mehrere Appliances oder unterschiedliche Einsatzarten haben. Für die erste Einordnung zählt, ob die betreffende Konfiguration auf der jeweiligen Installation vorkommt. Ein Treffer belegt für sich genommen noch keinen Angriff und keinen Ausfall. Er zeigt aber, dass die Konfiguration zu dem von Citrix untersuchten Bereich passt.

Ein eingespielter Patch schließt die neue Frage nicht ab

Ende September hatte Citrix ein Notfall-⁠Update zu zuvor gemeldeten Sicherheitslücken im NetScaler ADC und NetScaler Gateway veröffentlicht. Danach berichteten Betreiber über wiederholte Neustarts bei aktualisierten Appliances. Auch ein Honeypot mit aktueller Firmware soll abgestürzt sein. Diese Beobachtungen sind ein Anlass zur Prüfung, aber kein Beleg dafür, dass das damalige Update wirkungslos war: Es geht hier um ein zusätzlich untersuchtes Problem im Zusammenhang mit SAML.

In den Berichten werden die Abstürze mit Angriffen über manipulierte SAML-Authentifizierungsdatensätze in Verbindung gebracht. Dabei soll der Dienst `nsaaad` abstürzen. Der Zusammenhang ist noch nicht als bestätigte Ursache belegt. Citrix untersucht das Problem; aus den bisherigen Beobachtungen lässt sich daher weder eine gesicherte technische Erklärung noch eine allgemeine Aussage über alle NetScaler-⁠Systeme ableiten.

Für den Betrieb ergibt sich trotzdem eine klare Konsequenz: Der Patchstand allein beantwortet nicht, ob die Installation in den untersuchten Konfigurationsbereich fällt. Umgekehrt ist ein Treffer in der Konfiguration kein Grund, einen erfolgreichen Angriff anzunehmen. Beides auseinanderzuhalten verhindert unnötige Alarmierung und schützt zugleich davor, ein mögliches Risiko wegen eines bereits eingespielten Updates zu übersehen.

Prüfen Sie zuerst die betroffenen Gateway-⁠ und AAA-⁠Instanzen

Gehen Sie die Konfigurationen der NetScaler durch, die als Gateway-⁠ oder AAA-⁠Server eingesetzt werden, und suchen Sie dort gezielt nach den beiden genannten Mustern. Erfassen Sie, auf welcher Instanz ein Treffer vorkommt und welche Anmeldeabläufe davon abhängen. So können Sie den Befund einer konkreten Bereitstellung zuordnen, statt alle Systeme pauschal als betroffen oder unbetroffen einzustufen.

Ein reflexartiges Abschalten der SAML-⁠Konfiguration wäre kein guter erster Schritt. Wenn Anmeldungen darüber laufen, kann eine Änderung den Zugang zu davon abhängigen Anwendungen unterbrechen. Klären Sie deshalb vor Eingriffen, welche Nutzer und Dienste diese Anmeldung verwenden, und stimmen Sie Änderungen mit den Verantwortlichen für Identitätsmanagement und NetScaler-⁠Betrieb ab. Die Meldung liefert keinen konkreten Workaround, den Betreiber gefahrlos pauschal anwenden könnten.

Falls eine Instanz wiederholt neu startet, behandeln Sie das als Betriebsstörung und dokumentieren Sie den zeitlichen Zusammenhang mit der Konfiguration und den beobachteten Ereignissen. Vermeiden Sie dabei, die Ursache vorschnell festzulegen: Ein Neustart allein beweist weder eine Ausnutzung noch, dass genau das beschriebene SAML-⁠Problem vorliegt. Für die weitere Einordnung sind die betroffene Instanz und ihre tatsächliche SAML-⁠Nutzung aussagekräftiger als eine allgemeine Vermutung über den gesamten NetScaler-⁠Bestand.

Die neue Meldung ist damit vor allem ein Konfigurationsprüfauftrag, keine Entwarnung durch den Patch und auch kein Anlass für einen undifferenzierten Rückbau. Prüfen Sie gezielt die SAML-⁠Muster auf den Gateway-⁠ und AAA-⁠Instanzen und bewerten Sie Treffer vor Änderungen im jeweiligen Anmeldekontext.

Quellen: Borns IT-⁠ und Windows-⁠Blog – „Citrix NetScaler ADC: Neues SAML-Authentifizierungsproblem? (3.10.2026)“ (https://borncity.com/blog/2026/10/03/citrix-netscaler-adc-neues-saml-authentifizierungsproblem-3-10-2026/)