Citrix NetScaler ADC-ի և NetScaler Gateway-ի խոցելիությունները կարող են անջատել ինստանսները

Citrix ընկերությունը թողարկել է անվտանգության շտկումներ Citrix NetScaler ADC-ի և Citrix NetScaler Gateway-ի 28 խոցելիությունների համար։ Խոցելիություններից ինը գնահատված են որպես կրիտիկական, իսկ որոշները կարող են օգտագործվել ծառայության մերժում առաջացնելու կամ տուժած ինստանսները խափանելու համար։ Hybrid Secure Private Access միջավայրերը NetScaler ինստանսներով նույնպես տուժում են։

Կրիտիկական խոցելիություններ և կարգավորման պահանջներ

CVE-2026-120868 խոցելիությունը ազդում է երկու արտադրանքների վրա դրանց լռելյայն կարգավորմամբ և գտնվում է փաթեթների մշակման մեջ։ Հիշողության սխալը կարող է հանգեցնել անկանխատեսելի վարքագծի կամ ծառայության մերժման։ Այլ կրիտիկական ծառայության մերժման խնդիրները պահանջում են հատուկ կարգավորումներ, օրինակ՝ DNS բեռի բաշխում DNS-over-HTTPS միջոցով CVE-2026-107409 խոցելիության համար կամ DNS բեռի բաշխում ռեկուրսիվ DNS լուծմամբ CVE-2026-107408 խոցելիության համար։ CVE-2026-107412 խոցելիությունը, որը կրիտիկական է և ունի 9,5 CVSS գնահատական, պահանջում է, որ NetScaler համակարգը կարգավորված լինի որպես դարպաս (SSL VPN, ICA Proxy, CVPN, RDP Proxy) կամ որպես AAA վիրտուալ սերվեր։

Այլ ծանրության մակարդակներ և տեղային մուտքի խնդիր

Մնացած խոցելիությունների մեծ մասը գնահատված է որպես բարձր ծանրության, ներառյալ ծառայության մերժման դեպքերը, ինչպիսին է CVE-2026-120861 խոցելիությունը։ Չորս խոցելիություն գնահատված է որպես միջին։ Մեկ միջին խնդիր՝ CVE-2026-111348 խոցելիությունը, կարող է հանգեցնել նույնականացման տվյալների գրանցմանը լոգ ֆայլում, սակայն հարձակվողները պետք է ունենան տեղային մուտք՝ այն կարդալու համար։

Շտկված տարբերակներ և թարմացման ժամանակացույց

Ադմինիստրատորները պետք է տեղադրեն նշված տարբերակներից մեկը կամ ավելի նոր՝ ինստանսները պաշտպանելու համար՝ Citrix NetScaler ADC և Citrix NetScaler Gateway 14.1-73.57; Citrix NetScaler ADC և Citrix NetScaler Gateway 13.1-64.39; Citrix NetScaler ADC 14.1-FIPS 14.1-73.58 FIPS; և Citrix NetScaler ADC 13.1-FIPS և 13.1-NDcPP 13.1-37.293։ Citrix ընկերությունը նաև թարմացնում է իր կողմից կառավարվող ամպային ծառայությունները։ Citrix ընկերությունը հայտնում է, որ այսուհետ անվտանգության շտկումները կթողարկի ամսական՝ ֆիքսված ժամանակացույցով, հնարավորինս մոտ Patch Tuesday-ին, իսկ շտապ դեպքերում, ինչպիսին է ակտիվ շահագործումը, հնարավոր են ժամանակացույցից դուրս թարմացումներ։ Վերջին շտկումները այս ծրագրի առաջինն են։

Բացահայտում և շահագործման կարգավիճակ

Citrix ընկերությունը դեռ չի հայտնել խոցելիությունների շահագործման դեպքերի մասին։ Ընկերությունը հայտնում է, որ որոշ խոցելիություններ բացահայտել է AI-ով աջակցվող կոդի վերլուծության միջոցով։ Citrix NetScaler-ի կրիտիկական խոցելիությունը նաև վերնագրեր է գրավել հոկտեմբերի սկզբին։

Ավելի վաղ լուսաբանում՝ Citrix ընկերությունը շտկել է շահագործված NetScaler zero-day խոցելիությունը, որը ազդում էր SAML տեղակայումների վրա

Աղբյուրներ՝ heise online · CERT-EU · Citrix