Wieso wundert es mich genau null, dass bestimmte Produkte ein PHP Webinterface haben und jetzt so langsam mal auf den Gedanken kommen, einen Patch zu stellen? https://community.citrix.com/techzone-blogs/110_security-updates/protecting-netscaler-management-access-from-php-cve-2026-109618-cve-2026-109619-r1640/
Das wichtige hierbei ist: Es ist nicht die Programmiersprache des Backends das Problem, es ist das bräsige Reagieren auf globale Notfälle.
@bkastl Netscaler ist echt crazy was Sicherheit angeht.
@bkastl Ich hatte eine Erwähnung "wo Citrix Netscaler Patch?" auf meinen Slides für heute Nachmittag, die musste ich bereits korrigieren. Palo Alto sagt auch "nicht betroffen", immerhin.
Insgesamt ist der Patchstand ausbaufähig, wir stehen weltweit bei unter 25%. Deutschland mit 33% sogar überdurchschnittlich.
@christopherkunz Lustigerweise hatte ich das mit Citrix auch nur als Beifang gefunden, weil ich eigentlich den globalen Patchstand suchte. The gift that keeps on giving ;)
@bkastl In meiner Liste stehen als Appliances oder appliance-adjazente Produkte noch Check Point, FortidDoS Sophos MyUTM und TrendAI Apex {Central,One}.
Oct 27, 2026, 6:40 AM@bkastl ist das ding neu?
Auf der seite steht "5 tage alt" aber da können die ja draufschreiben was sie wollen.
Oct 27, 2026, 6:45 AM@bkastl ah wait. Beim dritten mal lesen fällt sogar mir auf dass die da nicht nen patch beschreiben den sie shippen. Oh boy, also man erwartet ja echt nichts aber hey...
@bkastl
Dasselbe wie Website Betreiber, die ihre PHP-Webseite nur wenn's knallt, wenn überhaupt, mal updaten.
Ob uralte WP-Installationen oder Shops, sobald es um Service und Wartung geht man dafür Geldxausgeben müsste, heißt es gleich, "ach, das läuft doch noch, dass machen wir (vielleicht) im nächsten Monat".
Oct 27, 2026, 6:51 AM@bkastl
Ich hab mal die Firmen Verflechtung verfolgt und diesen Menschen soll das Firmen Konstrukt gehören.
Fazit: Hinter NetScaler stehen also zwei milliardenschwere Finanzinvestoren: Smith (Vista), der unter Trumps Justizdepartement einen strategisch günstigen Deal bekam, und Singer (Elliott), der vom Trump-Gegner 2016 zum großen Trump-Spender und -Profiteur 2024/25 wurde.
@bkastl Und auch nicht auf die Idee gekommen sind, rudimentäres Sandboxing (Webserver nicht als Root, SELinux, seccomp, etc.) zu implementieren.