Citrix NetScaler aktiv ausgenutzt (CVE-2026-3055), F5 BIG-IP RCE auf kritisch hochgestuft, Fortinet-EMS-SQLi in freier Wildbahn, russisches CTRL-Toolkit kapert RDP

Drei kritische Netzwerk-Appliance-Schwachstellen werden nun aktiv ausgenutzt — gegen Citrix NetScaler, F5 BIG-IP und Fortinet FortiClient EMS. Ein neu entdecktes CTRL-Toolkit russischen Ursprungs kapert RDP-Sitzungen über FRP-Tunnel. Das RoadK1ll-WebSocket-Implantat ermöglicht getarnte laterale Bewegung. Apple führt macOS-Terminal-Warnungen ein, um ClickFix-Social-Engineering entgegenzuwirken. CareCloud meldet ein Gesundheitsdatenleck mit betroffenen Patientenakten.

1. Citrix NetScaler CVE-2026-3055 — aktive Ausnutzung stiehlt Admin-Sitzungen

Citrix legte CVE-2026-3055 am 23. März offen — eine kritische Memory-Overread-Schwachstelle in NetScaler-ADC- und NetScaler-Gateway-Appliances, die als SAML-Identity-Provider konfiguriert sind. Binnen Tagen begannen Bedrohungsakteure, sie in freier Wildbahn auszunutzen.

Die Sicherheitsfirma watchTowr bestätigte aktive Ausnutzung von bekannten Angreifer-IPs seit dem 27. März und nannte die Lücke reminiszent an die verheerenden CitrixBleed-Schwachstellen von 2023 und 2025. Ihre Analyse zeigt, dass die CVE tatsächlich mindestens zwei separate Memory-Overread-Bugs abdeckt:

• Der erste betrifft den Endpoint /saml/login, der die SAML-Authentifizierung verarbeitet
• Der zweite zielt auf den Endpoint /wsfed/passive für WS-Federation-Passive-Authentifizierung

Erfolgreiche Ausnutzung leakt sensible Informationen einschließlich authentifizierter administrativer Session-IDs — mit dem Potenzial zur vollständigen Appliance-Übernahme. Stand 28. März trackt ShadowServer 29.000 NetScaler-ADC- und 2.250 Gateway-Instanzen, die online exponiert sind.

Betroffene Versionen

watchTowr kritisierte Citrix' Offenlegung als „unaufrichtig“ wegen der unvollständigen Beschreibung und veröffentlichte ein Python-Skript, das Verteidigern hilft, verwundbare Hosts zu identifizieren. Citrix' Bulletin räumt die In-the-Wild-Ausnutzung nach wie vor nicht ein.

2. F5 BIG-IP APM RCE — von DoS auf kritisch umklassifiziert, Webshells im Einsatz

F5 Networks hat CVE-2025-53521 von einer Denial-of-Service-Schwachstelle zu einer Remote-Code-Execution-(RCE)-Lücke kritischer Schwere umklassifiziert, nachdem entdeckt wurde, dass Angreifer Webshells auf ungepatchten BIG-IP-APM-Geräten platzieren.

BIG-IP APM (Access Policy Manager) ist eine zentralisierte Zugriffsmanagement-Lösung, die von über 23.000 Kunden weltweit genutzt wird — darunter 48 der Fortune 50. Die Schwachstelle erlaubt unauthentifizierten Angreifern RCE auf Systemen, bei denen Zugriffsrichtlinien an einem virtuellen Server konfiguriert sind.

F5 veröffentlichte Kompromittierungsindikatoren (IOCs) und forderte Verteidiger auf, Festplatteninhalte, Logs und Terminal-Verlauf auf Anzeichen bösartiger Aktivität zu prüfen. CISA nahm die Lücke am 27. März in ihren Known-Exploited-Vulnerabilities-Katalog auf und ordnete Bundesbehörden das Patchen bis zum 30. März an.

ShadowServer trackt derzeit über 240.000 BIG-IP-Instanzen, die dem Internet ausgesetzt sind — wie hoch der Anteil der für diese spezifische CVE verwundbaren ist, bleibt unklar. BIG-IP-Schwachstellen wurden historisch sowohl von staatlichen als auch von Cybercrime-Gruppen ausgenutzt.

3. Fortinet FortiClient EMS SQL-Injection — Ausnutzung bestätigt

Das Threat-Intelligence-Unternehmen Defused bestätigte, dass CVE-2026-21643, eine kritische SQL-Injection-Schwachstelle in Fortinets FortiClient EMS, seit mindestens vier Tagen vor der öffentlichen Meldung aktiv ausgenutzt wird — obwohl sie auf CISA- und anderen KEV-Listen als „nicht ausgenutzt“ markiert war.

Die Lücke erlaubt unauthentifizierten Bedrohungsakteuren, beliebigen Code auszuführen — über bösartig präparierte HTTP-Anfragen an die FortiClientEMS-GUI-Weboberfläche. Angreifer können SQL-Anweisungen über den Site-Header in HTTP-Anfragen einschleusen.

Laut Shodan sind knapp 1.000 FortiClient-EMS-Instanzen öffentlich erreichbar, mit über 1.400 von ShadowServer getrackten IPs in den USA und Europa. Fortinet hat sein Advisory bislang nicht aktualisiert, um die In-the-Wild-Ausnutzung anzuerkennen.

Behebung

• Betroffen: FortiClient EMS Version 7.4.4
• Behoben: Upgrade auf Version 7.4.5 oder neuer
• CISA führt insgesamt 24 Fortinet-Schwachstellen als aktiv ausgenutzt, 13 davon in Ransomware-Angriffen genutzt

4. Russisches CTRL-Toolkit — maßgeschneidertes .NET-RAT kapert RDP über FRP-Tunnel

Censys-Forscher haben CTRL aufgedeckt — ein bislang undokumentiertes Fernzugriffs-Toolkit russischen Ursprungs, das über präparierte Windows-Verknüpfungsdateien (LNK) verteilt wird, die als Private-Key-Ordner getarnt sind.

Das im Februar 2026 aus einem offenen Verzeichnis unter 146.19.213[.]155 geborgene Toolkit ist mit .NET gebaut und liefert eine umfassende Angriffskette:

• Verschlüsseltes Payload-Laden über mehrstufige Entschlüsselung
• Credential-Harvesting über eine ausgefeilte Windows-Hello-Phishing-Oberfläche, die die PIN-Verifizierung imitiert
• Keylogging als Hintergrunddienst, der alle Tastenanschläge erfasst
• RDP-Session-Hijacking über Fast-Reverse-Proxy-(FRP)-Tunnel
• Named-Pipe-C2-Architektur, die den Befehlsverkehr lokal beim Opfer hält

Die Angriffskette beginnt, wenn ein Opfer eine präparierte LNK-Datei (Private Key #kfxm7p9q_yek.lnk) doppelklickt. Das startet verstecktes PowerShell, das bestehende Persistenz beseitigt, einen Base64-Blob im Speicher dekodiert und die Verbindung zu hui228[.]ru:7000 herstellt. Der Stager ändert dann Firewall-Regeln, legt Backdoor-Lokalkonten an und startet einen cmd.exe-Shell-Server auf Port 5267, erreichbar über den FRP-Tunnel.

Die Credential-Harvesting-Komponente ist besonders raffiniert — sie blockiert Alt+Tab, Alt+F4 und andere Flucht-Shortcuts und validiert eingegebene PINs in einer Schleife gegen das echte Windows-Authentifizierungssystem, bis die Erfassung erfolgreich ist.

5. RoadK1ll — WebSocket-basiertes Pivoting-Implantat

Der Managed-Detection-and-Response-Anbieter Blackpoint hat RoadK1ll identifiziert — ein Node.js-Implantat, das ein eigenes WebSocket-Protokoll nutzt, um kompromittierte Rechner in Relay-Punkte für laterale Bewegung zu verwandeln.

Anders als klassische Malware, die auf eingehende Verbindungen lauscht, baut RoadK1ll ausgehende WebSocket-Verbindungen zur Angreifer-Infrastruktur auf und tunnelt dann TCP-Verkehr bei Bedarf. Da die Verbindungen vom kompromittierten Host ausgehen, erben sie dessen Netzwerkvertrauen und umgehen Perimeterkontrollen.

Zentrale Fähigkeiten

• CONNECT — öffnet TCP-Verbindungen zu angegebenen internen Hosts
• DATA — leitet rohen Verkehr durch aktive Verbindungen weiter
• Mehrere gleichzeitige Verbindungen über einen einzigen WebSocket-Tunnel
• Automatische Wiederverbindung, falls der Kanal unterbrochen wird

Bemerkenswert: RoadK1ll hat keine klassischen Persistenzmechanismen (keine Registry-Schlüssel, geplante Aufgaben oder Dienste) — es läuft nur, solange sein Prozess lebt. Seine Fähigkeit, interne Systeme, Management-Interfaces und extern nicht exponierte Netzsegmente zu erreichen, macht es dennoch zu einem gefährlichen Pivoting-Werkzeug.

6. Apple blockiert ClickFix-Angriffe in macOS Tahoe 26.4

Apple hat in macOS Tahoe 26.4 stillschweigend ein Sicherheitsfeature eingeführt, das das Paste-and-Execute-Muster blockiert, das ClickFix-Social-Engineering-Angriffe ausnutzen. Wenn Nutzer potenziell schädliche Befehle aus Safari ins Terminal einfügen, verzögert das System die Ausführung und zeigt eine Warnung vor den Risiken an.

ClickFix-Angriffe verleiten Nutzer dazu, bösartige Befehle (oft getarnt als „Fix“-Anweisungen oder Verifizierungsschritte) zu kopieren und ins Terminal einzufügen — herkömmliche Sicherheitsmaßnahmen werden umgangen, da der Nutzer die Aktion selbst auslöst. Das neue Feature erklärt, dass noch kein Schaden entstanden ist, und warnt vor Betrügertaktiken.

Apple erwähnte dieses Feature nicht in den offiziellen Release Notes zu macOS 26.4. Nutzertests legen nahe, dass die Warnungen sitzungsbasiert sein könnten (einmal pro Sitzung ausgelöst) und eine gewisse Befehlsanalyse einbeziehen, um Fehlalarme bei harmlosen Befehlen zu vermeiden.

7. CareCloud-Gesundheitsdatenleck — Patientenakten kompromittiert

Das Gesundheits-IT-Unternehmen CareCloud meldete per SEC-Filing ein Datenleck, nachdem Hacker am 16. März auf seine Infrastruktur zugriffen und eine rund achtstündige Netzwerkstörung verursachten, die eine seiner sechs Umgebungen für elektronische Gesundheitsakten (EHR) betraf.

Das in New Jersey ansässige Unternehmen, das SaaS-, Revenue-Cycle-Management- und EHR-Lösungen anbietet, bestätigte, dass die kompromittierte Umgebung Patientengesundheitsakten enthielt. Der Umfang der betroffenen Personen wird noch untersucht.

CareCloud beauftragte das Cyber-Response-Team einer der Big-Four-Wirtschaftsprüfungsgesellschaften mit der forensischen Untersuchung. Alle Systeme wurden wiederhergestellt und der Zugriff des Angreifers beendet. Keine Ransomware-Gruppe hat die Verantwortung für den Angriff übernommen.

Patch-Prioritäts-Dashboard