netscaler-cve-2026-88776-check

CVE-2026-88776: Speicherbeschädigung im NetScaler Oracle Load-Balancer. Ein eigenständiger, offline arbeitender Python-Checker, der vom Betreiber gemeldete NetScaler-Build- und Konfigurationsnachweise mit den vom Hersteller bereitgestellten korrigierten Builds vergleicht.

Er liest ausschließlich die von Ihnen bereitgestellten Build-Strings und Beobachtungen. Er kontaktiert niemals ein Gerät, führt keinen Anwendungscode aus, sendet keine Exploit-Payload und testet nicht die Ausnutzbarkeit.

• Geltungsbereich
• Anforderungen
• Schnellstart
• Ergebnisse lesen
• Versionsregeln
• Konfigurationsbeobachtungen
• Eingaben und Optionen
• Berichte
• Einschränkungen
• Quellen und Hinweise zu Advisories
• Entwicklung
• Mitwirken, Sicherheit und Lizenz

Geltungsbereich

Dieses Repository behandelt ausschließlich CVE-2026-88776 und folgt dabei den Berichtskonventionen von node2shell-check und php2shell-check. Es ist eine Triage-Hilfe für Inventare, deren Bewertung Sie autorisiert sind durchzuführen, und kein allgemeiner Produktscanner.

• Gemeldete Versionen sind Nachweise, kein verifizierter Laufzeitzustand.
• potentially_affected bedeutet nicht bestätigte Ausnutzbarkeit.
• fixed_version_reported ist keine Patch- oder Sicherheitsgarantie.
• unknown ist niemals sicher.
• Jedes Ergebnis hat exploitability: not_tested.

Anforderungen

• Python 3.10 oder neuer. Der Checker verwendet ausschließlich die Standardbibliothek, es muss also nichts installiert werden.
• Es ist kein Netzwerkzugriff erforderlich oder wird verwendet.

Schnellstart

Führen Sie den Checker aus einem Klon dieses Repositorys aus. Verwenden Sie python3, falls python nicht verfügbar ist.

# One reported build, printed as JSON on stdout
python netscaler_cve_2026_88776_check.py --version 14.1-73.36 --variant standard

# The synthetic example inventory, written as a self-contained HTML report
python netscaler_cve_2026_88776_check.py --inventory docs/example-inventory.json --format html --output report.html

# A CSV inventory, written as JSON, with a failing exit code if firmware is affected
python netscaler_cve_2026_88776_check.py --csv-list inventory.csv --format json --fail-on-finding

--version nimmt einen gemeldeten NetScaler-Build entgegen. Um die eigene Version des Checkers auszugeben, verwenden Sie --tool-version; --help listet alle Optionen auf. Eingaben können in einem Lauf kombiniert werden. Eine vorhandene Berichtsdatei wird abgelehnt, sofern Sie nicht --force übergeben.

Ergebnisse lesen

Jede Beobachtung erhält einen Versionsstatus, einen unabhängigen Vorbedingungsstatus und einen Behebungsstatus.

version_status	Bedeutung
potentially_affected	Der gemeldete Build liegt strikt vor dem vom Hersteller festgelegten Fix-Build für seinen Branch und seine Variante.
fixed_version_reported	Der gemeldete Build entspricht dem Fix-Build oder liegt darüber. Dies ist eine Betreiberangabe, kein verifizierter eingesetzter Patch.
unknown	Die Evidenz fehlt, ist fehlerhaft, widersprüchlich, ein Custom-Build, mehrdeutig oder außerhalb der abgedeckten Branches und Varianten. Dies ist kein sauberes Ergebnis.

version_reason erläutert jede Entscheidung. Die Hauptgründe für unknown sind eine fehlende oder fehlerhafte Version, widersprüchliche Versionen oder Varianten, eine nicht erkannte Variante, ein nicht abgedeckter Branch oder eine nicht abgedeckte Variante, eine mehrdeutige erforderliche Variante und eine nicht offizielle Build-Herkunft. fixed_version kann alternative Schwellenwerte für eine mehrdeutige 13.1-Beobachtung auflisten.

• precondition_status ist conditions_observed, condition_not_observed oder unknown. Er fasst ausschließlich die von Ihnen gelieferten Konfigurationsbeobachtungen zusammen und bedeutet niemals eine verifizierte Exposition oder ein sauberes Ergebnis.
• remediation_status unterscheidet zwischen „Firmware-Update erforderlich“, „Versionsüberprüfung erforderlich“ und „gemeldete Versionsanforderung“. Er ist unabhängig von der Ausnutzbarkeit, die stets not_tested ist.
• Versions-, Konfigurations- und Behebungsstatus werden getrennt gehalten. Beobachtungen ändern niemals den Versionsstatus.

Versionsregeln

Ein Build ist nur dann betroffen, wenn er strikt vor dem Fix-Build für denselben Branch und dieselbe Variante liegt. Es wird keine Untergrenze und keine Lebenszyklus-Schlussfolgerung erfunden.

Branch und Variante	Vom Hersteller festgelegter Fix-Build
14.1 standard	14.1-73.37
13.1 standard	13.1-64.23
14.1 FIPS	14.1-73.37
13.1 FIPS/NDcPP	13.1-37.279

• Andere Branches und 14.1 NDcPP bleiben unknown.
• Eine nicht angegebene 13.1-Variante bleibt unknown, wenn die Vergleiche für standard und FIPS/NDcPP voneinander abweichen.
• Akzeptierte Build-Formen sind 14.1-73.37, 14.1.73.37 und NS14.1: Build 73.37.nc, optional mit FIPS- oder NDcPP-Kennzeichnung vor einem optionalen nc-Marker. Geben Sie nur den Build-Text an, nicht eine vollständige show version-Zeile.
• Fehlerhafte, qualifizierte, nicht-ASCII-, widersprüchliche, Custom-Build- und nicht abgedeckte Evidenz bleibt unknown.

Konfigurationsbeobachtungen

Geben Sie explizite Beobachtungen als true-, false- oder unknown-CLI-Flags, als JSON-Booleans oder null oder als dokumentierte CSV-Werte an. Sie bleiben getrennt vom Versionsstatus und belegen keine Erreichbarkeit. Es werden keine lokalen Konfigurations- oder Prozessdaten erfasst.

CLI-Flag	Bedeutung	Expositionsbedingung erwartet
--oracle-lb-vserver	Ein LB-Virtual-Server vom Typ Oracle ist konfiguriert	true

Eingaben und Optionen