Критическая уязвимость RCE в Citrix NetScaler SAML

Citrix выпустила обновления для устранения критической уязвимости CVE-2026-107406 в продуктах NetScaler ADC и NetScaler Gateway, которая при определённых SAML-настройках может привести к удалённому выполнению кода или отказу в обслуживании; под угрозой оказываются организации, использующие NetScaler как SAML-поставщика или потребителя идентичности, включая гибридные развертывания Secure Private Access, и им необходимо срочно обновить уязвимые инстансы до исправленных версий, несмотря на отсутствие пока подтверждённой эксплуатации.

Технические детали уязвимости и затронутые конфигурации

Согласно бюллетеню Citrix CTX697191 с описанием уязвимости, CVE-2026-107406 представляет собой переполнение памяти, которое может быть использовано для:

удалённого выполнения произвольного кода (RCE);
выведения устройства из строя (DoS).

Уязвимости присвоен балл CVSS 9.5 из 10, что ставит её в категорию критических. На момент публикации информации Citrix не фиксировала фактов эксплуатации уязвимости «в дикой природе». Вендор указывает, что успешная атака возможна только при определённых конфигурациях, связанных с SAML-аутентификацией:

если NetScaler настроен как SAML сервис-провайдер (SP), в конфигурации присутствуют строки вида add authentication samlAction;
если NetScaler настроен как SAML провайдер идентичности (IdP), в конфигурации присутствуют строки вида add authentication samlIdPProfile.

Затронутые версии при роли SAML IdP

При использовании устройства в роли SAML IdP уязвимость затрагивает следующие ветки версий:

NetScaler ADC и NetScaler Gateway:
- от 14.1-73.37 до 14.1-73.41 включительно;
- от 13.1-64.23 до 13.1-64.28 включительно.
NetScaler ADC 14.1-FIPS:
- от 14.1-73.37 FIPS до 14.1-73.41 FIPS включительно.
NetScaler ADC 13.1-FIPS:
- от 13.1-NDcPP 13.1-37.279 до 13.1-37.282 включительно.

Затронутые версии при роли SAML SP или IdP

Если NetScaler используется как SAML SP или IdP, подвержены все более ранние релизы следующих веток:

NetScaler ADC и NetScaler Gateway:
- все версии до 14.1-73.37;
- все версии до 13.1-64.23.
NetScaler ADC 14.1-FIPS:
- все версии до 14.1-73.37 FIPS.
NetScaler ADC 13.1-FIPS:
- все версии до 13.1-NDcPP 13.1-37.279.

Уязвимость устранена в следующих версиях, которые Citrix рекомендует как безопасный целевой уровень:

NetScaler ADC и NetScaler Gateway:
- 14.1-73.46 и новее;
- 13.1-64.29 и последующие релизы ветки 13.1.
NetScaler ADC 14.1-FIPS:
- 14.1-73.46 FIPS и более новые релизы.
NetScaler ADC 13.1-FIPS и 13.1-NDcPP:
- 13.1-37.283 и последующие версии этих линеек.

Дополнительные детали по оценке CVSS и характеристикам уязвимости можно отследить по записи NVD для CVE-2026-107406 (как только она будет опубликована).

Контекст угроз: серия атак на NetScaler

Фикс CVE-2026-107406 выходит на фоне того, что сразу три другие уязвимости в NetScaler ADC и NetScaler Gateway — CVE-2026-88771, CVE-2026-88772 и CVE-2026-88779 — уже находятся под активной эксплуатацией. На них также появятся или уже доступны записи в NVD по адресам:

CVE-2026-88771
CVE-2026-88772
CVE-2026-88779

Это создаёт неблагоприятный фон для любых новых уязвимостей NetScaler: даже если конкретно CVE-2026-107406 пока не используется в атаках, наличие других активно эксплуатируемых изъянов в том же продукте резко повышает мотивацию злоумышленников оперативно разработать эксплойты и для неё. Фактически каждое не обновлённое устройство становится многократно привлекательной целью.

Citrix отдельно подчёркивает, что уязвимы также Secure Private Access Hybrid-развертывания, в которых используются экземпляры NetScaler: компания опубликовала рекомендации по немедленным шагам в заметке на портале сообщества с практическим руководством по CVE-2026-107406.

Оценка воздействия на бизнес и инфраструктуру

Наибольшему риску подвержены организации, где NetScaler выполняет функции:

центральной точки удалённого доступа к внутренним приложениям;
SAML-провайдера или потребителя идентичности для критичных бизнес-систем;
узла в гибридной архитектуре Secure Private Access.

Переполнение памяти с возможностью RCE в таком компоненте означает, что атакующий потенциально может:

получить контроль над устройством на сетевой границе;
подменять или перехватывать аутентификационные сессии;
использовать NetScaler как точку опоры для дальнейшего проникновения во внутреннюю сеть;
нарушить доступность удалённого доступа и внутренних веб-приложений через DoS-эффект.

Даже если масштаб атаки ограничится отказом в обслуживании, последствия будут ощутимыми: простой удалённого доступа, срыв смен, недоступность внутренних порталов, задержки в обработке клиентских операций. При успешном же RCE возможна компрометация учётных данных и данных сессий, что уже несёт риски несанкционированного доступа к системам, использующим SAML-аутентификацию.

Практические рекомендации по защите

1. Немедленная приоритизация обновлений

Определите все инстансы NetScaler ADC / NetScaler Gateway, доступные из интернета или используемые в критичных внутренних сегментах.
Сверьте их версии с перечнем уязвимых и исправленных релизов из бюллетеня Citrix CTX697191.
При наличии SAML-настроек (строки add authentication samlAction или add authentication samlIdPProfile в конфигурации) считайте такие инстансы приоритетом уровня «критичный».
Обновите их как минимум до:
- 14.1-73.46 или новее для ветки 14.1;
- 13.1-64.29 или новее для ветки 13.1;
- 14.1-73.46 FIPS либо 13.1-37.283 и выше для FIPS/NdcPP-вариантов.

2. Secure Private Access Hybrid

Если используется Secure Private Access Hybrid, инвентаризируйте все задействованные NetScaler-узлы.
Проверьте их версии и роли (SAML IdP/SP) и обновите до рекомендованных релизов в соответствии с руководством Citrix на портале сообщества по снижению рисков CVE-2026-107406.

3. Временное снижение поверхности атаки

Если оперативное обновление невозможно (например, из‑за сложных процедур тестирования), имеет смысл рассмотреть временные меры:

перенос на обновлённый кластер тех виртуальных серверов, где используется SAML-аутентификация;
отключение не критичных SAML-профилей или виртуальных серверов с SAML там, где это допустимо бизнес-требованиями;
ограничение прямого доступа к административным интерфейсам NetScaler только внутренними адресами/временем обслуживания.

4. Мониторинг и реагирование

Усилить мониторинг журналов NetScaler на предмет аномалий аутентификации, сбоев процессов и резкого роста ошибок.
Сопоставлять подозрительную активность с известными индикаторами атак на другие CVE в NetScaler (CVE-2026-88771, CVE-2026-88772, CVE-2026-88779), используя данные NVD и отраслевые отчёты.
Подготовить сценарии отката и план непрерывности бизнеса на случай необходимости экстренного рестарта или временного вывода устройства из эксплуатации.

Ключевой вывод для операторов Citrix NetScaler таков: если в вашей инфраструктуре используются SAML-конфигурации или гибридные развертывания Secure Private Access, необходимо в ближайшее плановое окно обновить все задействованные NetScaler ADC и NetScaler Gateway до версий не ниже 14.1-73.46 или 13.1-64.29 (а для FIPS/NdcPP — до 13.1-37.283), предварительно инвентаризировав SAML-настройки по указанным строкам конфигурации и усилив мониторинг на период до и после обновления.