Citrix виправила експлуатовану нульову день NetScaler, яка впливає на конфігурації SAML

Citrix виправила експлуатовану вразливість NetScaler

Citrix випустила оновлення безпеки для NetScaler ADC і Citrix NetScaler Gateway для CVE-2026-88779, яка є переповненням пам’яті з високою серйозністю. Вразливість має оцінку CVSS 8,7 з 10,0 і вже використовується в цільових атаках нульового дня.

Citrix заявила, що помилка за певних умов конфігурації може спричинити недоступність сервісів. Вона впливає на конфігурації, керовані користувачем, які використовують уразливі підтримувані версії, за виконання необхідних передумов. Компанія заявила, що повторний запуск стану може зробити сервіс недоступним.

Конфігурації SAML уразливі

Успішне використання вимагає, щоб NetScaler ADC або NetScaler Gateway було налаштовано як постачальник послуг SAML або постачальник ідентичності SAML. Користувачі можуть перевірити, чи конфігурація відповідає передумовам, інтерпретуючи такі записи в конфігурації: SAML SP - add authentication samlAction або SAML IdP - add authentication samlIdPProfile.

Citrix також заявила, що стежить за нещодавно зафіксованою проблемою, пов’язаною з автентифікацією SAML, у керованих користувачем конфігураціях NetScaler, де використовується SAML Gateway або функціонал AAA.

Виправлені версії та строк CISA

Виправлені версії включають NetScaler ADC і NetScaler Gateway 14.1-73.41 та новіші, 13.1-64.28 та новіші в лінії випуску 13.1, NetScaler ADC 14.1-FIPS 14.1-73.41 FIPS та новіші, а також NetScaler ADC 13.1-FIPS і 13.1-NDcPP 13.1-37.282 та новіші.

Агентство кібербезпеки та безпеки інфраструктури США CISA додала CVE-2026-88779 до каталогу відомих експлуатованих вразливостей. Федеральні агентства зобов’язані встановити виправлення до 7 жовтня 2026 року.

Дослідження та контекст експлуатації

Cloud Software Group від імені Citrix подякувала Bishop Fox та watchTowr за фіксацію вразливості. watchTowr заявила, що помилка відтворювалася протягом кількох годин після виявлення активності NetScaler honeypot.

Citrix заявила, що її аналіз показує: проблема впливає на доступність сервісів, а впливу на цілісність даних користувачів не виявлено. Ця подія слідує за повідомленнями про активну експлуатацію CVE-2026-88771 і CVE-2026-88772, коли в уражених системах були встановлені веб-шелли та інструменти тунелювання.