Citrix har uppmanat administratörer att omedelbart åtgärda en kritisk RCE-sårbarhet i NetScaler som påverkar NetScaler ADC och NetScaler Gateway. Sårbarheten kan göra det möjligt för angripare att fjärrköra kod eller få drabbade enheter att krascha.
Sårbarheten, som identifieras som CVE-2026-107406, beror på en svaghet kopplad till minnesöverskrivning. Exponeringen beror dock på konfigurationen: enheterna måste fungera som SAML-identitetsleverantör eller tjänsteleverantör för att vara sårbara.
När Citrix publicerade sin säkerhetsbulletin uppgav företaget att det inte kände till några attacker där sårbarheten utnyttjades utan att skyddsåtgärder fanns på plats.
SAML-konfigurationen avgör exponeringen
NetScaler ADC hanterar applikationstrafik, medan NetScaler Gateway erbjuder säker fjärråtkomst till organisationers resurser.
Den nya sårbarheten påverkar installationer som är konfigurerade för att hantera autentisering via Security Assertion Markup Language (SAML), antingen som identitetsleverantör eller tjänsteleverantör.
En identitetsleverantör autentiserar användare, medan en tjänsteleverantör förlitar sig på dessa autentiseringsintyg för att bevilja åtkomst.
Administratörer behöver därför kontrollera både den installerade programvaruversionen och enhetens konfiguration när de bedömer exponeringen.
Ett framgångsrikt utnyttjande kan leda till fjärrkörning av kod. Alternativt kan angripare utlösa en överbelastningsattack som stör tillgängligheten genom att få enheter att krascha.
Citrix listar korrigerade NetScaler-versioner
Citrix rekommenderar att berörda enheter uppgraderas till rätt korrigerade version för respektive programvarugren.
| Produkt eller versionsgren | Korrigerad version |
|---|---|
| NetScaler ADC och Gateway 14.1 | 14.1-73.46 eller senare |
| NetScaler ADC och Gateway 13.1 | 13.1-64.29 eller senare inom 13.1 |
| NetScaler ADC 14.1-FIPS | 14.1-73.46 FIPS eller senare inom 14.1-FIPS |
| NetScaler ADC 13.1-FIPS och 13.1-NDcPP | 13.1.37.283 eller senare inom respektive versionsgren |
Företaget har uppmanat berörda kunder att granska säkerhetsmeddelandet och installera de rekommenderade uppdateringarna så snart som möjligt.
Även om Citrix inte har rapporterat några bevis för aktivt utnyttjande, behandlar företagets rekommendationer RCE-sårbarheten i NetScaler som en brådskande prioritet för säkerhetsuppdatering.
Internetexponering visar inte hur många system som är sårbara
Shadowserver spårar över 21 000 internetexponerade IP-adresser som uppvisar kännetecken för NetScaler.
Observationerna omfattar drygt 1 500 Gateway-instanser och nästan 20 000 NetScaler ADC-enheter.
Dessa siffror motsvarar dock inte ett bekräftat antal sårbara system. Vissa enheter kan redan vara uppdaterade, sakna den nödvändiga SAML-konfigurationen eller fungera som honeypots.
De tillgängliga uppgifterna visar därför plattformens exponering mot internet utan att fastställa hur många installationer som hotas av just denna sårbarhet.
Tidigare NetScaler-sårbarheter har lockat angripare
Varningen följer på flera säkerhetsincidenter kopplade till NetScaler under 2026.
I mars uppmanade Citrix kunder att åtgärda CVE-2026-3055 och CVE-2026-4368. Angripare började utnyttja dessa sårbarheter några dagar senare.
I september släppte företaget sedan korrigeringar för två aktivt utnyttjade nolldagssårbarheter för fjärrkörning av kod, CVE-2026-88771 och CVE-2026-88772.
Dessa attacker involverade specialutvecklade webbskal och skadlig kod för tunnling. De möjliggjorde också stöld av inloggningsuppgifter, rootåtkomst och vidare rörelse in i offrens interna nätverk.
Tidigare i oktober släppte Citrix akuta uppdateringar för CVE-2026-88779, som inledningsvis beskrevs som en nolldagssårbarhet för överbelastningsattacker. Forskare och administratörer rapporterade därefter att angripare även kunde använda den för fjärrkörning av kod.
Dessa tidigare incidenter gäller separata sårbarheter och visar inte att CVE-2026-107406 har utnyttjats.
Tidigare attacker ökar behovet av snabba uppdateringar
Sedan november 2021 har CISA listat 27 Citrix-sårbarheter i sin katalog över kända aktivt utnyttjade sårbarheter, Known Exploited Vulnerabilities. Sju av dessa har kopplingar till ransomwareattacker.
Denna historik understryker vikten av att snabbt åtgärda exponerade NetScaler-system.
För den nyligen offentliggjorda sårbarheten rekommenderar Citrix att organisationer identifierar berörda SAML-installationer och uppgraderar dem till en korrigerad version.
0 svar till ”Kritisk RCE-sårbarhet i NetScaler får Citrix att uppmana till omedelbar uppdatering”