Citrix nakazuje natychmiast załatać nową podatność w NetScaler ADC i NetScaler Gateway

Citrix ostrzega przed nową krytyczną podatnością CVE-2026-107406 w NetScaler ADC i NetScaler Gateway, pozwalającą na zdalne wykonanie kodu lub awarię urządzenia. Dotyczy urządzeń skonfigurowanych jako SAML IdP lub SP.

Citrix ostrzegł administratorów, żeby natychmiast zaktualizowali urządzenia NetScaler ADC i NetScaler Gateway, czyli rozwiązanie do bezpiecznego zdalnego dostępuZdalny dostęp Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.. Nowa krytyczna podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. ma numer CVE-2026-107406 i wynika z przepełnienia pamięci. Atakujący może dzięki niej zdalnie wykonać kod (RCEZdalne wykonanie kodu Rodzaj podatności pozwalający atakującemu wykonać dowolne polecenia na urządzeniu, w tych przypadkach bez wcześniejszego uwierzytelnienia.) na urządzeniu albo doprowadzić do odmowy usługi, która kończy się awarią.

Podatne są tylko te urządzenia, które skonfigurowano jako dostawcę tożsamości (IdP) lub usługodawcę (SP) w SAML. Citrix zaleca aktualizację do wersji 14.1-73.46 i nowszych albo 13.1-64.29 i nowszych wydań 13.1. Dla NetScaler ADC 14.1-FIPS wskazano 14.1-73.46 FIPSStandardy FIPS Federal Information Processing Standards: standardy przetwarzania informacji publikowane przez amerykański NIST dla administracji federalnej USA. W nazwach produktów oznaczają wersję z kryptografią zgodną z FIPS 140. i nowsze, a dla 13.1-FIPS oraz 13.1-NDcPP wersję 13.1.37.283 i nowsze. Citrix nie ma na razie dowodów, że ktoś wykorzystuje tę podatność w atakach.

Jeśli używasz tych urządzeń, sprawdź wersje wszystkich bram w organizacji i to, czy któraś pełni rolę IdP lub SP w SAML. Shadowserver widzi w internecie ponad 21 tys. adresów IP z odciskami NetScaler: nieco ponad 1500 to Gateway, a prawie 20 tys. to NetScaler ADC. BleepingComputer zaznacza, że nie wiadomo, ile z nich to honeypoty, ile jest już załatanych i ile ma podatną konfigurację.

Historia produktu nakazuje traktować ostrzeżenie poważnie. W marcu Citrix wzywał do załatania CVE-2026-3055 i CVE-2026-4368 na kilka dni przed tym, jak atakujący zaczęli je wykorzystywać. We wrześniu firma łatała dwie aktywnie wykorzystywane podatności RCE typu zero-dayZero-day Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę., o których pisałem w aktualnościach.

Na początku października Citrix wydał awaryjne aktualizacje dla podatności CVE-2026-88779. Według BleepingComputer badacze i administratorzy ocenili później, że można ją wykorzystać także do zdalnego wykonania kodu. Wpis CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. opisuje ją jako błąd mogący prowadzić do odmowy usługi, wskazuje termin działań na 7 października 2026 r. i przy użyciu w kampaniach ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. podaje „Unknown”. CISA odnotowała od listopada 2021 r. 27 aktywnie wykorzystywanych podatności Citrix, w tym siedem użytych w atakach ransomware.

Źródła

• BleepingComputer: Citrix warns admins to patch new NetScaler RCE flaw immediately
• CISA: Known Exploited Vulnerabilities Catalog, wpis CVE-2026-88779

Pojęcia w tym tekście (7)

Zdalny dostęp

Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

Zdalne wykonanie kodu

Rodzaj podatności pozwalający atakującemu wykonać dowolne polecenia na urządzeniu, w tych przypadkach bez wcześniejszego uwierzytelnienia.

Standardy FIPS

Federal Information Processing Standards: standardy przetwarzania informacji publikowane przez amerykański NIST dla administracji federalnej USA. W nazwach produktów oznaczają wersję z kryptografią zgodną z FIPS 140.

Zero-day

Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.

CISA

Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Ransomware

Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 9 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.