En brist på 9,5 som kräver en särskild konfiguration
Den 9 oktober släppte Citrix patchar för CVE-2026-107406, ett minnesöverflöd i NetScaler ADC och NetScaler Gateway som under särskilda konfigurationsvillkor kan leda till fjärrkörning av kod eller överbelastning. Den får 9,5 på CVSS v4.0 och klassas som CWE-119, felaktig begränsning av operationer inom en minnesbuffert.
Citrix säger att det inte finns några tecken på utnyttjande i det fria, även om The Register noterar att företaget inte sa om bristen användes som zero-day före offentliggörandet. Citrix tackade forskare i JPMorgan Chases XOR-team och Maxim Suhanov för upptäckten.
Kontrollen med två rader
Bristen kan bara utnyttjas när enheten är konfigurerad som SAML-identitetsleverantör eller som tjänsteleverantör, och konfigurationen visar vilken av dem det gäller.
The Hacker News nämner två poster att leta efter. En SAML-tjänsteleverantör har en rad som börjar med add authentication samlAction, och en SAML-identitetsleverantör en som börjar med add authentication samlIdPProfile. Sök efter båda i din sparade konfiguration. Finns ingen av dem är just det här villkoret inte uppfyllt, men det fritar inte enheten från de andra NetScaler-bristerna nedan.
Vilka byggen som berörs
Vilka byggen som är sårbara beror på SAML-rollen. Äldre byggen är utsatta i båda rollerna, vissa nyare bara som identitetsleverantör.
| Gren | Utsatt som SAML-SP eller -IdP | Bara utsatt som SAML-IdP | Åtgärdad i |
|---|---|---|---|
| ADC och Gateway 14.1 | Före 14.1-73.37 | 14.1-73.37 till 14.1-73.41 | 14.1-73.46 och senare |
| ADC 14.1-FIPS | Före 14.1-73.37 FIPS | 14.1-73.37 FIPS till 14.1-73.41 FIPS | 14.1-73.46 FIPS och senare |
| ADC och Gateway 13.1 | Före 13.1-64.23 | 13.1-64.23 till 13.1-64.28 | 13.1-64.29 och senare |
| ADC 13.1-FIPS och 13.1-NDcPP | Före 13.1-37.279 | 13.1-37.279 till 13.1-37.282 | 13.1-37.283 och senare |
Secure Private Access Hybrid-driftsättningar som använder NetScaler-instanser berörs också och behöver samma uppgradering. Citrix sköter uppdateringarna för sina hanterade molntjänster och Adaptive Authentication själv, så där finns inget att installera, medan alla som kör egna enheter själva måste uppgradera dem.
Samma funktion ligger bakom de utnyttjade bristerna
The Hacker News nämner tre andra NetScaler-brister under aktivt utnyttjande: CVE-2026-88771, CVE-2026-88772 och CVE-2026-88779. Googles forskare sa att en kampanj som utnyttjar CVE-2026-88772 pågått sedan åtminstone början av september, med organisationer inom förvaltning, finans, juridik och utbildning i Nordamerika och Europa troligen drabbade, rapporterar The Register. Citrix offentliggjorde CVE-2026-88779, betygsatt 8,7, fredagen innan, och The Register noterar att den och den nya bristen båda är minnesöverflöd som berör SAML-konfigurationer.
Citrix har inte pekat ut den nya bristen som utnyttjad, och det är ett uttalande om i dag. Eftersom samma funktion de senaste veckorna gett utnyttjade brister skulle vi planera utifrån att angripare också läser det här meddelandet.
En prioriteringsordning för den här veckan
Gör konfigurationskontrollen först, för den sorterar dina enheter i dem som ska patchas den här veckan och dem som kan vänta till den vanliga cykeln.
Enheter med SAML-konfiguration går först, till 14.1-73.46, 13.1-64.29 eller motsvarande FIPS-bygge, och allt som ännu saknar åtgärderna för de tre utnyttjade bristerna går före den här. Om en uppgradering inte kan ske inom 72 timmar, begränsa under tiden vem som kan nå SAML-ändpunkterna.
Behandla sedan NetScaler som vilken internetvänd autentiseringsgateway som helst: en utsedd ägare, en prenumeration på säkerhetsmeddelanden och ett fast patchfönster. Citrix har nu utfärdat ett kritiskt meddelande utöver tre utnyttjade brister inom några veckor, och en månadscykel täcker inte ett sådant mönster.
Läs vidare: Patchad i juni, utnyttjad i augusti: felet i NetScaler | CitrixBleed är tillbaka, utnyttjad inom en dag
