Een lek van 9,5 dat een specifieke configuratie vraagt
Op 9 oktober bracht Citrix patches uit voor CVE-2026-107406, een geheugenoverloop in NetScaler ADC en NetScaler Gateway die onder specifieke configuratievoorwaarden kan leiden tot code-uitvoering op afstand of denial of service. Het lek scoort 9,5 op CVSS v4.0 en is ingedeeld als CWE-119, onjuiste beperking van bewerkingen binnen een geheugenbuffer.
Citrix zegt dat er geen aanwijzingen zijn voor misbruik in het wild, al merkt The Register op dat het niet zei of het lek v贸贸r de bekendmaking als zero-day is gebruikt. Citrix noemde onderzoekers van het XOR-team van JPMorgan Chase en Maxim Suhanov als vinders.
De controle van twee regels
Het lek is alleen te misbruiken als de appliance is ingesteld als SAML-identity provider of als service provider, en de configuratie laat zien welk van de twee geldt.
The Hacker News noemt twee items om naar te zoeken. Een SAML-service provider heeft een regel die begint met add authentication samlAction, een SAML-identity provider een regel die begint met add authentication samlIdPProfile. Doorzoek uw opgeslagen configuratie op beide. Is er geen van beide, dan is deze specifieke voorwaarde niet vervuld, al ontslaat dat de appliance niet van de andere NetScaler-lekken hieronder.
Welke builds zijn getroffen
Welke builds kwetsbaar zijn, hangt af van de SAML-rol. Oudere builds zijn in beide rollen blootgesteld, sommige nieuwere alleen als identity provider.
| Tak | Blootgesteld als SAML-SP of -IdP | Alleen blootgesteld als SAML-IdP | Opgelost in |
|---|---|---|---|
| ADC en Gateway 14.1 | V贸贸r 14.1-73.37 | 14.1-73.37 tot 14.1-73.41 | 14.1-73.46 en later |
| ADC 14.1-FIPS | V贸贸r 14.1-73.37 FIPS | 14.1-73.37 FIPS tot 14.1-73.41 FIPS | 14.1-73.46 FIPS en later |
| ADC en Gateway 13.1 | V贸贸r 13.1-64.23 | 13.1-64.23 tot 13.1-64.28 | 13.1-64.29 en later |
| ADC 13.1-FIPS en 13.1-NDcPP | V贸贸r 13.1-37.279 | 13.1-37.279 tot 13.1-37.282 | 13.1-37.283 en later |
Ook Secure Private Access Hybrid-implementaties die NetScaler-instanties gebruiken zijn getroffen en hebben dezelfde upgrade nodig. Citrix regelt de updates voor zijn beheerde cloudservices en Adaptive Authentication zelf, dus daar valt niets te installeren, terwijl iedereen met eigen appliances die zelf moet upgraden.
Dezelfde functie zit achter de misbruikte lekken
The Hacker News noemt drie andere NetScaler-lekken die actief worden misbruikt: CVE-2026-88771, CVE-2026-88772 en CVE-2026-88779. Google-onderzoekers zeiden dat een campagne die CVE-2026-88772 misbruikt al minstens sinds begin september liep, waarbij organisaties in overheid, financi毛n, juridische sector en onderwijs in Noord-Amerika en Europa waarschijnlijk zijn getroffen, meldt The Register. Citrix maakte CVE-2026-88779, met score 8,7, de vrijdag ervoor bekend, en The Register merkt op dat dit lek en het nieuwe allebei geheugenoverlopen zijn die SAML-configuraties raken.
Citrix heeft het nieuwe lek niet als misbruikt aangemerkt, en dat is een uitspraak over vandaag. Omdat dezelfde functie de afgelopen weken misbruikte lekken heeft opgeleverd, zouden wij plannen met de aanname dat aanvallers dit advies ook lezen.
Een volgorde voor deze week
Voer eerst de configuratiecontrole uit, want die verdeelt uw appliances in die welke deze week gepatcht moeten worden en die welke op de gewone cyclus kunnen wachten.
Appliances met een SAML-configuratie gaan eerst, naar 14.1-73.46, 13.1-64.29 of de bijbehorende FIPS-build, en alles waar de fixes voor de drie misbruikte lekken nog ontbreken gaat voor dit lek. Als een upgrade niet binnen 72 uur kan, beperk dan in de tussentijd wie de SAML-endpoints kan bereiken.
Behandel NetScaler daarna als elke vanaf internet bereikbare authenticatiegateway: 茅茅n benoemde eigenaar, 茅茅n abonnement op adviezen en een vast patchmoment. Citrix heeft nu binnen enkele weken een kritiek advies uitgebracht bovenop drie misbruikte lekken, en een maandelijkse cyclus dekt zo'n patroon niet.
Lees hierna: In juni gepatcht, in augustus misbruikt: het NetScaler-lek | CitrixBleed is terug, binnen een dag misbruikt
