Вразливості Citrix NetScaler ADC і Gateway можуть вивести екземпляри з ладу

Citrix випустила оновлення безпеки для 28 вразливостей у Citrix NetScaler ADC і Citrix NetScaler Gateway. Дев'ять із цих вразливостей мають критичну оцінку, а деякі можна використати для спричинення відмови в обслуговуванні або збою уражених екземплярів. Гібридні середовища Secure Private Access із екземплярами NetScaler також уражені.

Критичні недоліки та вимоги до конфігурації

CVE-2026-120868 впливає на обидва продукти в їхній типовій конфігурації й стосується обробки пакетів; помилка пам'яті може призвести до непередбачуваної поведінки або відмови в обслуговуванні. Інші критичні проблеми відмови в обслуговуванні потребують певних налаштувань, наприклад балансування навантаження DNS через DNS-over-HTTPS для CVE-2026-107409 або балансування навантаження DNS із рекурсивним розв'язанням DNS для CVE-2026-107408. CVE-2026-107412, оцінена як критична (CVSS 9.5), потребує налаштування NetScaler як шлюзу (SSL VPN, ICA Proxy, CVPN, RDP Proxy) або як віртуального сервера AAA.

Інші рівні серйозності та проблема локального доступу

Більшість решти вразливостей мають високий рівень серйозності, зокрема випадки відмови в обслуговуванні, як-от CVE-2026-120861. Чотири вразливості оцінені як середні. Одна середня проблема, CVE-2026-111348, може спричинити запис автентифікаційних даних у файл журналу, але зловмисникам потрібен локальний доступ, щоб його прочитати.

Виправлені версії та розклад оновлень

Адміністратори мають установити одну з указаних версій або пізнішу, щоб захистити екземпляри: Citrix NetScaler ADC і Citrix NetScaler Gateway 14.1-73.57; Citrix NetScaler ADC і Citrix NetScaler Gateway 13.1-64.39; Citrix NetScaler ADC 14.1-FIPS 14.1-73.58 FIPS; а також Citrix NetScaler ADC 13.1-FIPS і 13.1-NDcPP 13.1-37.293. Citrix також оновлює хмарні сервіси, якими керує самостійно. Citrix повідомляє, що тепер випускатиме оновлення безпеки щомісяця за фіксованим розкладом, якнайближче до Patch Tuesday, а в термінових випадках, як-от активне експлуатування, можливі позапланові оновлення. Останні виправлення є першими в межах цієї програми.

Виявлення та статус експлуатування

Citrix поки не повідомляла про випадки експлуатування вразливостей зловмисниками. Компанія каже, що виявила деякі вразливості за допомогою аналізу коду з підтримкою ШІ. Критична вразливість Citrix NetScaler також потрапила в заголовки на початку жовтня.

Раніше висвітлювалося: Citrix виправила експлуатовану нульову вразливість NetScaler, що впливає на розгортання SAML

Джерела: heise online · CERT-EU · Citrix