Citrix opravuje kritickou chybu SAML v NetScaler, která může vést ke spuštění kódu

Citrix zveřejnil bezpečnostní bulletin k CVE-2026-107406, zranitelnosti v NetScaler ADC a NetScaler Gateway. Bulletin ji popisuje jako přetečení paměti, které může vést ke vzdálenému spuštění kódu nebo k odepření služby, řadí ji do CWE-119, třídy slabin paměťových bufferů, a přiděluje jí základní skóre CVSS v4.0 ve výši 9,5. Bulletin se vztahuje pouze na zařízení, která zákazníci provozují sami; Cloud Software Group, společnost stojící za Citrix, uvádí, že aktualizace aplikuje na cloudové služby a Adaptive Authentication, které Citrix spravuje sám.

Zařízení je ohrožené pouze tehdy, když funguje jako poskytovatel služeb SAML (SP) nebo poskytovatel identit SAML (IdP), přičemž to, na které roli záleží, závisí na buildu. Na buildech starších než 14.1-73.37 a 13.1-64.23 a na buildech FIPS starších než 14.1-73.37 FIPS a 13.1-37.279 jsou zasaženy obě role. Na novějších buildech 14.1-73.37 až 14.1-73.41 (včetně ekvivalentů 14.1-FIPS), 13.1-64.23 až 13.1-64.28 a buildech 13.1-FIPS/NDcPP 13.1-37.279 až 13.1-37.282 je podle Citrix zranitelná pouze role poskytovatele identit.

Citrix uvádí tato opravená vydání: 14.1-73.46 nebo novější pro větev 14.1, 13.1-64.29 nebo novější v rámci 13.1, 14.1-73.46 FIPS nebo novější pro 14.1-FIPS a 13.1.37.283 nebo novější pro edice 13.1-FIPS a 13.1-NDcPP. Zasaženy jsou také instance NetScaler, které jsou součástí nasazení Secure Private Access Hybrid, a potřebují stejnou aktualizaci. Aby administrátoři zjistili, zda zařízení využívá některou z rolí SAML, mohou podle Citrix v jeho konfiguraci hledat položky odpovídající add authentication samlAction (poskytovatel služeb) nebo add authentication samlIdPProfile (poskytovatel identit).

Ke zneužití Citrix v prohlášení, které cituje BleepingComputer, uvedl: „K datu zveřejnění bulletinu nemá Citrix povědomí o žádném nezmírněném zneužití této zranitelnosti“. The Register poznamenává, že Citrix neuvedl, zda byla chyba před zveřejněním zneužita jako zero-day. Bulletin připisuje zásluhy výzkumníkům z XOR Team ve společnosti JPMorgan Chase. BleepingComputer uvádí, že Shadowserver sleduje na internetu více než 21 000 IP adres s otisky NetScaler, z toho téměř 20 000 zařízení ADC a něco přes 1 500 instancí Gateway, není však známo, kolik z nich jsou honeypoty, jsou již opravená nebo jsou nastavena zranitelným způsobem.

Oprava navazuje na několik chyb NetScaler, které útočníci letos zneužili. Začátkem tohoto měsíce vydal Citrix mimořádné aktualizace pro CVE-2026-88779, zero-day zranitelnost umožňující odepření služby, která má podle The Register skóre 8,7 a o které výzkumníci a administrátoři později uvedli, že umožňovala i spuštění kódu, jak píše BleepingComputer. Podle The Register se tato chyba i ta nová týkají přetečení paměti v konfiguracích SAML. V září Citrix opravil dvě zneužívané zero-day zranitelnosti, CVE-2026-88771 a CVE-2026-88772; výzkumníci Google uvedli, že kampaň zneužívající CVE-2026-88772 probíhala nejméně od začátku září. BleepingComputer dodává, že od listopadu 2021 CISA vedla 27 zranitelností Citrix jako aktivně zneužívaných, z toho sedm při útocích ransomwaru.