CitrixBleed 2: Wenn 127 Bytes Speicher zum Ransomware-Fahrplan werden
28.07.2026 citrixbleednetscalersession-hijackingransomware
Es beginnt mit einem einzigen leeren Formularfeld. Eine manipulierte POST-Anfrage an den Login-Endpunkt eines Citrix-NetScaler-Gateways bringt die Appliance dazu, benachbarten Prozessspeicher in ihre Antwort einzuschleusen. Malformed POST requests to the login endpoint, sent with einem leeren login-Formularfeld, veranlassen die Appliance, rund 127 Bytes benachbarten Prozessspeichers in ihre Antwort zu serialisieren. Was 2023 als “CitrixBleed” traurige Berühmtheit erlangte, ist unter der Bezeichnung CVE-2025-5777 als “CitrixBleed 2” zurück – und Forensiker berichten in der ersten Jahreshälfte 2026 von einer bemerkenswert einheitlichen Angriffswelle.
Die verräterischen Spuren im Appliance-Log
Der Security-Dienstleister Huntress hat mindestens ein halbes Dutzend Vorfälle bei völlig unabhängigen Organisationen untersucht, die sich forensisch fast wie Blaupausen voneinander gleichen. In der ersten Jahreshälfte 2026 (zwischen Januar und Juni) reagierte man auf ein halbes Dutzend Vorfälle bei nicht verwandten Organisationen – unterschiedliche Branchen, unterschiedliche Managed-Service-Provider, unterschiedliche Landesteile –, die so mechanisch ähnlich waren, dass man beim jüngsten Fall bereits vorhersagen konnte. Auf Log-Ebene zeigt sich das Muster in AAA-LOGIN_FAILED-Ereignissen: Das ausgelesene Speicherleck landet im User-Feld der resultierenden AAA-LOGIN_FAILED-Ereignisse, oft begleitet von appliance-eigenen Diagnose-Meldungen wie “Login request is not expected to be encrypted” und “X509 cert not found” – diese beiden Diagnose-Zeilen sind für sich genommen jedoch kein verlässlicher Beweis. Erst binäre Daten im User-Parameter oder eine Session ohne zugehörigen Login-Vorgang liefern den entscheidenden forensischen Diskriminator. Der Unterschied zwischen einem Angriff und Hintergrundrauschen liegt in den binären Daten, die durch den User-Parameter durchsickern, oder noch einfacher: in einer Session, die ohne zugehörigen Session-Login existiert.
In einem konkreten Fall zählten Analysten binnen weniger Stunden tausende verdächtiger Login-Versuche: Huntress identifizierte fast 5.937 AAA-LOGIN_FAILED-Ereignisse von angreifer-kontrollierten IP-Adressen über rund fünf Stunden hinweg in einem Vorfall. Weil die derart erbeuteten Session-Tokens bereits vollständig authentifiziert sind, greift auch eine MFA-Absicherung nicht mehr. Weil die Session bereits vollständig authentifiziert war, bot MFA keinen Schutz – sie war bereits durch den legitimen Nutzer erfüllt worden.
Vom Fußabdruck zur Verschlüsselung in unter einer Stunde
Besonders alarmierend für Incident Responder ist die Geschwindigkeit: Nach Untersuchung eines halben Dutzends Vorfälle bei nicht verwandten Organisationen zwischen Januar und Juni 2026 identifizierten Analysten bei Huntress ein wiederholbares siebenstufiges Playbook – gleicher Zugangsweg, gleiche Eskalationstechnik, gleiche Rogue-Accounts und gleiche Remote-Control-Tools, was auf eine standardisierte Operation statt isolierter Gelegenheitsangriffe hindeutet. In einem dokumentierten Fall verging vom Erstzugriff bis zur Ransomware-Bereitstellung weniger als eine Stunde, wobei im fortgeschrittensten Fall DragonForce zum Einsatz kam. Huntress geht davon aus, dass ein Initial-Access-Broker die Schwachstelle systematisch ausnutzt, um Zugänge zu verkaufen oder weiterzureichen. Huntress bewertet mit hoher Zuversicht, dass die Aktivität das Werk eines Initial-Access-Brokers ist, der CVE-2025-5777 bewaffnet, um Fußfassungen in Citrix-Umgebungen zu erlangen, bevor der Zugang verkauft oder für Ransomware-Deployment weitergegeben wird.
Das größte forensische Problem liegt jedoch nicht in der Analyse selbst, sondern in der Beweissicherung: NetScaler-Logs rotieren extrem schnell, was das Zeitfenster für eine Rekonstruktion drastisch verkürzt. Log-Erhaltung ist ebenso wichtig: NetScaler-Logs können schnell rotieren und nur ein kurzes Fenster lassen, um die missgebildeten Login-Anfragen, Speicherlecks, Session-Anomalien und diagnostischen Nachrichten des Angriffs zu finden. Das Weiterleiten von Appliance-Logs an ein SIEM oder ein anderes zentrales Repository gibt Respondern eine bessere Chance, den Vorfall zu rekonstruieren, bevor diese Beweise verschwinden. Zudem überleben gestohlene Tokens oft ein reines Patchen der Appliance, weshalb Sitzungen aktiv terminiert werden müssen. Gestohlene Session-Tokens können nach einem Appliance-Update weiterhin nutzbar bleiben, weshalb Organisationen ausstehende Sitzungen auf für CVE-2025-5777 anfälligen Systemen terminieren sollten.
Dass diese Schwachstellenklasse kein Einzelfall bleibt, zeigt eine neue NetScaler-Lücke aus dem Sommer 2026: CVE-2026-8451, ein neuer CitrixBleed-artiger NetScaler-Speicherfehler (CVSS 8.8), wurde innerhalb von 24 Stunden nach dem Citrix-Patch vom 30. Juni ausgenutzt. Für DFIR-Teams bedeutet das: Wer NetScaler-Appliances betreibt, braucht nicht nur Patch-Management, sondern vor allem eine belastbare, ausgelagerte Log-Pipeline – denn die Beweise für den nächsten Vorfall verschwinden womöglich schon, bevor der Alarm überhaupt ausgelöst wird.
← Zurück zur Übersicht