Критична вразливість RCE в SAML-конфігураціях Citrix NetScaler

Citrix випустила оновлення для усунення критичної вразливості CVE-2026-107406 у продуктах NetScaler ADC та NetScaler Gateway, яка за певних SAML-налаштувань може призвести до віддаленого виконання коду або відмови в обслуговуванні; під загрозою опиняються організації, що використовують NetScaler як SAML-постачальника або споживача ідентичності, включно з гібридними розгортаннями Secure Private Access, і їм необхідно терміново оновити вразливі екземпляри до виправлених версій, попри відсутність наразі підтвердженої експлуатації.

Технічні деталі вразливості та зачеплені конфігурації

Згідно з бюлетенем Citrix CTX697191 з описом вразливості, CVE-2026-107406 є переповненням пам’яті, яке може бути використане для:

віддаленого виконання довільного коду (RCE);
виведення пристрою з ладу (DoS).

Вразливість отримала оцінку CVSS 9.5 з 10, що відносить її до категорії критичних. На момент публікації інформації Citrix не фіксувала випадків експлуатації вразливості «в реальних атаках». Вендор зазначає, що успішна атака можлива лише за певних конфігурацій, пов’язаних із SAML-аутентифікацією:

якщо NetScaler налаштовано як SAML сервіс-провайдер (SP), у конфігурації присутні рядки на кшталт add authentication samlAction;
якщо NetScaler налаштовано як SAML провайдер ідентичності (IdP), у конфігурації присутні рядки на кшталт add authentication samlIdPProfile.

Зачеплені версії в ролі SAML IdP

За використання пристрою в ролі SAML IdP вразливість зачіпає такі гілки версій:

NetScaler ADC та NetScaler Gateway:
- від 14.1-73.37 до 14.1-73.41 включно;
- від 13.1-64.23 до 13.1-64.28 включно.
NetScaler ADC 14.1-FIPS:
- від 14.1-73.37 FIPS до 14.1-73.41 FIPS включно.
NetScaler ADC 13.1-FIPS:
- від 13.1-NDcPP 13.1-37.279 до 13.1-37.282 включно.

Зачеплені версії в ролі SAML SP або IdP

Якщо NetScaler використовується як SAML SP або IdP, уразливими залишаються всі більш ранні релізи таких гілок:

NetScaler ADC та NetScaler Gateway:
- усі версії до 14.1-73.37;
- усі версії до 13.1-64.23.
NetScaler ADC 14.1-FIPS:
- усі версії до 14.1-73.37 FIPS.
NetScaler ADC 13.1-FIPS:
- усі версії до 13.1-NDcPP 13.1-37.279.

Вразливість усунено в таких версіях, які Citrix рекомендує як безпечний цільовий рівень:

NetScaler ADC та NetScaler Gateway:
- 14.1-73.46 і новіші;
- 13.1-64.29 і наступні релізи гілки 13.1.
NetScaler ADC 14.1-FIPS:
- 14.1-73.46 FIPS і новіші релізи.
NetScaler ADC 13.1-FIPS та 13.1-NDcPP:
- 13.1-37.283 і наступні версії цих лінійок.

Додаткові деталі щодо оцінки CVSS та характеристик вразливості можна буде відстежити за записом NVD для CVE-2026-107406 (як тільки він буде опублікований).

Контекст загроз: серія атак на NetScaler

Випуск виправлення для CVE-2026-107406 відбувається на тлі того, що одразу три інші вразливості в NetScaler ADC та NetScaler Gateway — CVE-2026-88771, CVE-2026-88772 і CVE-2026-88779 — уже активно експлуатуються. Для них також з’являться або вже доступні записи в NVD за адресами:

CVE-2026-88771
CVE-2026-88772
CVE-2026-88779

Це створює несприятливий фон для будь-яких нових вразливостей NetScaler: навіть якщо безпосередньо CVE-2026-107406 наразі не використовується в атаках, наявність інших активно експлуатованих вад у тому ж продукті різко підвищує мотивацію зловмисників оперативно розробити експлойти й для неї. Фактично кожен неоновлений пристрій стає набагато привабливішою ціллю.

Citrix окремо підкреслює, що вразливими є також розгортання Secure Private Access Hybrid, у яких використовуються екземпляри NetScaler: компанія опублікувала рекомендації щодо невідкладних кроків у нотатці на порталі спільноти з практичним керівництвом по CVE-2026-107406.

Оцінка впливу на бізнес та інфраструктуру

Найбільшому ризику піддаються організації, де NetScaler виконує функції:

центральної точки віддаленого доступу до внутрішніх застосунків;
SAML-постачальника або споживача ідентичності для критичних бізнес-систем;
вузла в гібридній архітектурі Secure Private Access.

Переповнення пам’яті з можливістю RCE в такому компоненті означає, що зловмисник потенційно може:

отримати контроль над пристроєм на мережевому периметрі;
підмінювати або перехоплювати сесії аутентифікації;
використовувати NetScaler як опорну точку для подальшого проникнення у внутрішню мережу;
порушити доступність віддаленого доступу та внутрішніх веб-застосунків через DoS-ефект.

Навіть якщо масштаб атаки обмежиться відмовою в обслуговуванні, наслідки будуть відчутними: простій сервісів віддаленого доступу, зрив змін, недоступність внутрішніх порталів, затримки в обробці клієнтських операцій. У разі ж успішного RCE можлива компрометація облікових даних і даних сесій, що вже несе ризики несанкціонованого доступу до систем, які використовують SAML-аутентифікацію.

Практичні рекомендації із захисту

1. Негайна пріоритизація оновлень

Визначте всі екземпляри NetScaler ADC / NetScaler Gateway, доступні з інтернету або задіяні в критичних внутрішніх сегментах.
Звірте їхні версії з переліком вразливих та виправлених релізів із бюлетеня Citrix CTX697191.
За наявності SAML-налаштувань (рядки add authentication samlAction або add authentication samlIdPProfile у конфігурації) вважайте такі екземпляри пріоритетом рівня «критичний».
Оновіть їх щонайменше до:
- 14.1-73.46 або новішої для гілки 14.1;
- 13.1-64.29 або новішої для гілки 13.1;
- 14.1-73.46 FIPS або 13.1-37.283 і вище для варіантів FIPS/NdcPP.

2. Secure Private Access Hybrid

Якщо використовується Secure Private Access Hybrid, проінвентаризуйте всі задіяні вузли NetScaler.
Перевірте їхні версії та ролі (SAML IdP/SP) і оновіть до рекомендованих релізів відповідно до керівництва Citrix на порталі спільноти щодо зниження ризиків CVE-2026-107406.

3. Тимчасове зменшення площини атаки

Якщо оперативне оновлення неможливе (наприклад, через складні процедури тестування), варто розглянути тимчасові заходи:

перенесення на оновлений кластер тих віртуальних серверів, де використовується SAML-аутентифікація;
відключення некритичних SAML-профілів або віртуальних серверів із SAML там, де це допускають бізнес-вимоги;
обмеження прямого доступу до адміністративних інтерфейсів NetScaler лише внутрішніми адресами/часом обслуговування.

4. Моніторинг і реагування

Посилити моніторинг журналів NetScaler на предмет аномалій аутентифікації, збоїв процесів і різкого зростання кількості помилок.
Корелювати підозрілу активність із відомими індикаторами атак на інші CVE в NetScaler (CVE-2026-88771, CVE-2026-88772, CVE-2026-88779), використовуючи дані NVD та галузеві звіти.
Підготувати сценарії відкату та план безперервності бізнесу на випадок необхідності екстреного перезапуску або тимчасового виведення пристрою з експлуатації.

Ключовий висновок для операторів Citrix NetScaler такий: якщо у вашій інфраструктурі використовуються SAML-конфігурації або гібридні розгортання Secure Private Access, необхідно в найближче планове вікно оновити всі задіяні NetScaler ADC і NetScaler Gateway до версій не нижче 14.1-73.46 або 13.1-64.29 (а для FIPS/NdcPP — до 13.1-37.283), попередньо проінвентаризувавши SAML-налаштування за вказаними рядками конфігурації та посиливши моніторинг на період до й після оновлення.