Citrix NetScaler- und Kiteworks-Zero-Days im Oktober 2026 ausgenutzt

Der Sicherheitsrückblick dieser Woche ist voll: ausgenutzte Zero-Days, KI-bezogene Datenlecks, Spectre-Angriffe, Phishing-Tricks und Ransomware-Verhaftungen. Die Schlagzeilen drehen sich um die **NetScaler FortiMail Zero-Day-Exploits**, zwei separate Schwachstellen in weit verbreiteten Unternehmensprodukten, die Angreifer nutzten, bevor Verteidiger einen vollständigen Fix zur Hand hatten. Die meisten Leser dieser Seite werden keines der beiden Produkte betreiben. Dennoch zeigen beide, wie eine Kompromittierung eines Gateways oder einer Appliance aussieht, und sie untermauern einige Gewohnheiten, die in jedem Maßstab wichtig sind. ## Was die NetScaler- und FortiMail-Zero-Days bedeuten Ein Zero-Day ist eine Schwachstelle, die Angreifer ausnutzen, bevor ein Patch existiert oder bevor die meisten Organisationen Zeit hatten, einen anzuwenden. Beide Produkte hier sitzen am Rand eines Netzwerks, was sie zu attraktiven Zielen macht. NetScaler ist ein Gateway- und Application-Delivery-Produkt, das viele Organisationen für Fernzugriff nutzen, einschließlich VPN-artiger Verbindungen. Sicherheits-Tracker beschreiben einen Zero-Day in dessen SAML-Verarbeitung, der ausgenutzt wird, und eine Community-Diskussion besagt, dass Angreifer eine NetScaler-Schwachstelle mindestens drei Wochen lang unbemerkt nutzten. Citrix hat Berichten zufolge einen Patch für dieses Problem veröffentlicht, während ein weiteres NetScaler-Problem als derzeit ausgenutzt beschrieben wird. Unsere frühere Berichterstattung über [NetScaler Zero-Day VPN-Sicherheitslücken werden ausgenutzt](/en/netscaler-zero-day-vpn-security-flaws-exploited-bitget-hit) liefert mehr Kontext dazu, wie Angreifer VPN-Gateways ins Visier nehmen. FortiMail ist Fortinets E-Mail-Sicherheits-Appliance. Berichte deuten darauf hin, dass Fortinet Kunden warnte, dass eine kritische Schwachstelle ausgenutzt wurde, bevor ein Patch verfügbar war, und dass CISA eine FortiMail-Schwachstelle in seinen Katalog bekannter ausgenutzter Schwachstellen aufnahm. Einige Tracker beschreiben auch Persistenzrisiken, was bedeutet, dass ein Angreifer den Zugang möglicherweise auch nach Installation eines späteren Fixes behält. Ein Vorbehalt zum Detail: Der Rückblick selbst ist eine kurze Zusammenfassung, und einige Spezifika (betroffene Versionen, genaues Ausmaß der Ausnutzung) variieren zwischen Quellen und können sich ändern. Prüfen Sie die Anbieterhinweise auf maßgebliche Anleitung, wenn Sie diese Systeme verwalten. ## Betrifft das Heimnetzwerke? Direkt, mit ziemlicher Sicherheit nicht. NetScaler und FortiMail sind Unternehmens-Appliances, und ein typischer Haushalt hat keines von beiden. Kleine Büros könnten eines über einen IT-Dienstleister oder einen Managed Service nutzen, daher lohnt es sich, nachzufragen. Die indirekten Lehren sind relevanter: - **Gateways sind hochwertige Ziele.** Ein Gerät, das zwischen Ihnen und dem Internet oder zwischen Remote-Mitarbeitern und einem Büronetzwerk sitzt, ist ein attraktiver Einstiegspunkt. Heimrouter, Small-Business-Firewalls und VPN-Appliances spielen dieselbe Rolle in kleinerem Maßstab. - **Ein VPN ist kein Kraftfeld.** Viele Menschen betrachten ein VPN als Schutz vor allem. Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und einem Server, aber es behebt kein anfälliges Gerät, und das VPN-Gateway selbst kann der Schwachpunkt sein. Wenn ein Gateway kompromittiert wird, wird das, was Benutzer schützen soll, zum Einstiegsweg. - **E-Mail-Filterung ist eine Ebene.** Selbst eine Sicherheits-Appliance kann versagen, daher haben Phishing-Bewusstsein und Multi-Faktor-Authentifizierung weiterhin echtes Gewicht. ## Praktische Schritte, während Exploits aktiv sind Wenn Sie solche Systeme verwalten oder sich auf sie verlassen, gelten einige Schritte sofort. Dieselbe Logik funktioniert für Heim- und Small-Office-Geräte. 1. **Finden Sie heraus, was Sie betreiben.** Fragen Sie Ihren IT-Dienstleister oder prüfen Sie Ihr eigenes Inventar auf NetScaler, FortiMail oder ähnliche Edge-Geräte. Sie können nicht patchen, was Sie nicht wissen, dass es existiert. 2. **Wenden Sie Anbieter-Patches und -Mitigationen schnell an.** Wo Citrix einen Fix herausgegeben hat, installieren Sie ihn. Wo Fortinet Workarounds statt eines vollständigen Patches angeboten hat, wenden Sie sie an und achten Sie auf Updates. 3. **Aktualisieren Sie die Firmware auf Routern und Firewalls.** Aktivieren Sie automatische Updates, falls verfügbar, und ersetzen Sie Geräte, die keine mehr erhalten. 4. **Begrenzen Sie die Exposition.** Schalten Sie Remote-Administrationsoberflächen aus, die Sie nicht nutzen, und vermeiden Sie es, Verwaltungsseiten dem Internet auszusetzen. 5. **Verwenden Sie starke, einzigartige Anmeldedaten und Multi-Faktor-Authentifizierung.** Dies reduziert den Schaden, wenn ein Login durch Phishing gestohlen wird, worauf der Rückblick dieser Woche ebenfalls hinweist. 6. **Prüfen Sie Logs und gehen Sie von möglicher Kompromittierung aus.** Da eine NetScaler-Schwachstelle Berichten zufolge wochenlang unbemerkt blieb, kann Patchen allein möglicherweise nicht ausreichen. Achten Sie auf ungewöhnliche Anmeldungen oder Änderungen, und ziehen Sie professionelle Hilfe in Betracht, wenn etwas merkwürdig aussieht. ## Ransomware-Verhaftungen: Fortschritt und Grenzen Der Rückblick erwähnt auch Ransomware-Verhaftungen, ein willkommenes Gegengewicht zu den Exploit-Nachrichten. Maßnahmen der Strafverfolgung haben zugenommen. In unserer Berichterstattung beschlagnahmten die Behörden KillSecs Leak-Site und sicherten mindestens 110 Terabyte an Daten, und [KillSec Ransomware-Leak-Site beschlagnahmt und drei Verhaftungen](/en/killsec-ransomware-leak-site-seized-110tb-secured-3-arrests) beschreibt, was am 30. September 2026 geschah. Für Opfer ist das Bild komplizierter, wie wir in [die KillSec-Ransomware-Verhaftung und die Frage nach gestohlenen Daten](/en/killsec-ransomware-arrest-stolen-data-after-110-tb-seizure) untersucht haben. Verhaftungen stören Gruppen, aber sie schließen nicht die Schwachstellen, auf die Angreifer sich verlassen. Ransomware-Crews und andere Eindringlinge erlangen oft einen Fußabdruck durch ungepatchte Edge-Geräte, gestohlene Anmeldedaten oder Phishing. Takedowns reduzieren die Anzahl der Operatoren; Patchen und gute Gewohnheiten reduzieren die Öffnungen. ## Was das für Sie bedeutet Die meisten Menschen müssen wegen der NetScaler- und FortiMail-Nachrichten nicht in Panik geraten. Wenn Sie ein einzelner Benutzer sind, ist die Hauptlehre, dass die Geräte, die Ihr Netzwerk schützen, ebenso viel Aufmerksamkeit benötigen wie die Computer dahinter. Wenn Sie für eine Organisation arbeiten, die eines der beiden Produkte nutzt, stellen Sie sicher, dass Ihr IT-Team informiert ist und handelt. Und wenn Sie ein VPN nutzen, denken Sie daran, dass es eine Schutzebene ist, kein Ersatz für Updates, starke Authentifizierung und sorgfältiges Klicken. ## Wichtigste Erkenntnisse - Die NetScaler FortiMail Zero-Day-Exploits sind hauptsächlich ein Unternehmensproblem, aber sie veranschaulichen, wie Angreifer Gateways und Appliances ins Visier nehmen. - Patchen und aktualisieren Sie Firmware umgehend, auch auf Heimroutern und Small-Office-Firewalls. - Betrachten Sie ein VPN nicht als Schild gegen jede Bedrohung; das Gerät und seine Software benötigen weiterhin Wartung. - Aktivieren Sie Multi-Faktor-Authentifizierung und bleiben Sie wachsam gegenüber Phishing. - Verhaftungen sind ermutigend, aber grundlegende Sicherheitsgewohnheiten bleiben Ihre beste Verteidigung. Für mehr dazu, wie VPN-Gateways zu Zielen werden, lesen Sie unsere frühere [NetScaler Zero-Day-Berichterstattung](/en/netscaler-zero-day-vpn-security-flaws-exploited-bitget-hit), und für die Strafverfolgungsseite siehe unseren Bericht über die [KillSec-Beschlagnahme und Verhaftungen](/en/killsec-ransomware-leak-site-seized-110tb-secured-3-arrests).

Citrix NetScaler Zero-Day-Patch ist der dritte in einer Woche

Apple hat einen dringenden Patch für eine neu offengelegte iOS-Zero-Click-Schwachstelle in CoreGraphics veröffentlicht – ein Fehler, der laut Computerworld „die prekäre Natur der Sicherheit mobiler Endpunkte" unterstreicht. Der Bug ist eine Erinnerung daran, dass einige der schwerwiegendsten Bedrohungen für iPhones und iPads den Nutzer nie auffordern, etwas anzuklicken, anzutippen oder zu genehmigen. Für datenschutzbewusste Leser ist der wichtigste Schritt zugleich der einfachste: Aktualisieren Sie Ihr Gerät. ## Was die iOS-Zero-Click-CoreGraphics-Schwachstelle ist CoreGraphics ist das Apple-Framework, das macOS und iOS zum Rendern und Verarbeiten von Grafiken verwenden. Da nahezu jede App und jeder Systemdienst, der ein Bild oder Dokument anzeigt, diese Art von Code berührt, kann ein Fehler hier auf viele verschiedene Weisen erreichbar sein. Nach Angaben von Sicherheitsanbietern, die das Problem verfolgen, wird der Bug als CVE-2026-86950 geführt und ist ein Out-of-Bounds-Write. Die Berichterstattung über den Patch besagt, dass die Verarbeitung einer bösartig erstellten Datei es einem Angreifer ermöglichen könnte, Code auf einem Gerät auszuführen. Die Berichterstattung beschreibt die Schwachstelle zudem als in ausgeklügelten, gezielten Angriffen ausgenutzt, bevor der Fix eintraf – was sie zu einem Zero-Day macht. Apple hat Notfall-Sicherheitsupdates für iOS und iPadOS veröffentlicht, um das Problem zu beheben. Wir haben in dem uns vorliegenden Material keine Hinweise auf eine breite, wahllose Ausnutzung gesehen. Die Berichterstattung deutet auf eine enge, gezielte Nutzung hin. ## Warum Zero-Click-Exploits gezielte Spyware ermöglichen Ein typischer Phishing-Angriff erfordert, dass ein Opfer einen Fehler macht: einen Anhang öffnet, auf einen Link tippt oder ein Passwort eingibt. Ein Zero-Click-Exploit nimmt das Opfer aus der Gleichung heraus. Eine speziell präparierte Datei wird auf das Gerät geliefert, der anfällige Code verarbeitet sie automatisch, und der Angreifer erlangt einen Fuß in die Tür, ohne dass es sichtbare Anzeichen gibt. Deshalb wird diese Klasse von Bugs so eng mit kommerzieller Spyware wie dem Pegasus von NSO Group in Verbindung gebracht. Spyware-Betreiber schätzen den interaktionsfreien Einstieg, weil er selbst gegen sorgfältige, sicherheitsbewusste Ziele funktioniert. Schulungen und gute Gewohnheiten spielen eine geringere Rolle, wenn der Angriff nie eine Wahl bietet. Auch die Ökonomie erklärt die Rahmung als „Wettrüsten". Angreifer investieren in das Auffinden von Fehlern bei der Speicherverwaltung in weit verbreiteten Komponenten wie Bild- und Grafikparsern. Anbieter patchen sie. Angreifer suchen dann den nächsten. Jeder Fix schließt eine Tür, aber der umgebende Code ist groß und komplex, sodass ständig neue Bugs auftauchen. Das ist nicht auf Apple beschränkt. Wir haben kürzlich darüber berichtet, wie die [niederländische Cyber-Behörde einen aktiven macOS-Zero-Day-Angriff bestätigte](/en/dutch-cyber-agency-confirms-active-macos-zero-day-attack) – ein weiteres Zeichen dafür, dass Angreifer aktiv gegen Apple-Plattformen vorgehen. ## Warum ein VPN diese Art von Angriff nicht stoppt Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den von Ihnen besuchten Websites. Das ist nützlich für die Privatsphäre in öffentlichen WLANs und dafür, zu begrenzen, was Ihr Netzwerkanbieter sehen kann. Es ändert jedoch nichts daran, was passiert, sobald eine bösartige Datei Ihr Gerät erreicht. In einem Zero-Click-Szenario wird die Angriffsnutzlast über eine App oder einen Dienst geliefert, die bzw. der bereits auf Ihrem Telefon läuft. Der VPN-Tunnel transportiert die Daten lediglich zum Gerät, und die anfällige Komponente verarbeitet sie wie gewohnt. Ein VPN ist kein Inhalts-Scanner und repariert keine Fehler im Betriebssystem. Das macht VPNs nicht sinnlos. Sie adressieren eine andere Risikokategorie, etwa Netzwerk-Ausspähung und IP-basiertes Tracking. Aber sie sind keine Verteidigung gegen eine Betriebssystem-Schwachstelle. Die einzige echte Lösung für einen solchen Bug ist der Patch des Anbieters, plus – wo möglich – die Verringerung der Exposition des Geräts. ## Was das für Sie bedeutet Für die meisten Menschen ist die Wahrscheinlichkeit, persönlich von einem Spyware-Betreiber ins Visier genommen zu werden, gering. Die Berichterstattung über diese Schwachstelle beschreibt gezielte Angriffe, keine Massenkampagnen. Aber der Patch ist kostenlos, und das Expositionsfenster ist die Zeit zwischen der Veröffentlichung eines Fixes und Ihrer Installation. Angreifer können Patches studieren, um zu verstehen, was behoben wurde, sodass eine Verzögerung der Aktualisierung unnötigen Spielraum lässt. Dieses schrumpfende Fenster ist ein übergreifendes Thema. Unsere Berichterstattung über [CISA's 3-Tage-Patch-Anordnung](/en/361-orgs-breached-in-5-days-cisa-s-3-day-patch-order) zeigt, wie wenig Zeit Organisationen heute haben, um auf kritische Schwachstellen zu reagieren. Einzelpersonen stehen unter demselben Druck, nur mit weniger Ressourcen. Wenn Sie Journalist, Aktivist, Anwalt, Führungskraft oder sonst jemand sind, der plausibel einen gut finanzierten Gegner anziehen könnte, nehmen Sie dies ernster, als es der durchschnittliche Nutzer tun sollte. ## Was iPhone- und iPad-Nutzer jetzt tun sollten - **Sofort aktualisieren.** Öffnen Sie Einstellungen, dann Allgemein, dann Softwareupdate, und installieren Sie die neueste iOS- oder iPadOS-Version. Aktivieren Sie automatische Updates, damit künftige Fixes ohne Verzögerung eintreffen. - **Aktivieren Sie den Lockdown-Modus, wenn Sie einem erhöhten Risiko ausgesetzt sind.** Apple hat diesen optionalen Modus für Menschen entwickelt, die möglicherweise gezielten digitalen Bedrohungen ausgesetzt sind. Er schränkt bestimmte Funktionen und Angriffsflächen ein und bringt Kompromisse bei der Funktionalität mit sich. - **Starten Sie Ihr Gerät regelmäßig neu.** Das ist kein Heilmittel, kann aber einige nicht-persistente Kompromittierungen stören. - **Aktualisieren Sie jedes Apple-Gerät, das Sie besitzen.** CoreGraphics wird sowohl unter iOS als auch unter macOS verwendet, prüfen Sie also auch Ihren Mac und Ihr iPad. - **Nutzen Sie ein VPN weiterhin für das, was es gut kann,** aber verlassen Sie sich nicht darauf, um sich gegen Betriebssystemfehler zu schützen. ## Das Fazit Die iOS-Zero-Click-CoreGraphics-Schwachstelle ist ein klares Beispiel für eine Bedrohung, die kein VPN, kein Ad-Blocker und keine sorgfältige Browsing-Gewohnheit stoppen kann. Patchen ist die Verteidigung, die funktioniert. Installieren Sie jetzt das neueste iOS- oder iPadOS-Update, aktivieren Sie den Lockdown-Modus, wenn Ihr Profil Sie einem höheren Risiko aussetzt, und lesen Sie unsere verwandte Berichterstattung über aktive Zero-Day-Ausnutzung und schrumpfende Patch-Fenster, um zu verstehen, warum Geschwindigkeit zählt.

ShinyHunters-„Rey" in Jordanien festgehalten, kooperiert mit dem FBI