Citrix har oppfordret administratorer til umiddelbart å installere sikkerhetsoppdateringer for en kritisk RCE-sårbarhet i NetScaler som rammer NetScaler ADC og NetScaler Gateway. Sårbarheten kan gjøre det mulig for angripere å kjøre kode eksternt eller få berørte enheter til å krasje.
Sårbarheten, som er registrert som CVE-2026-107406, skyldes en svakhet knyttet til minneoverflyt. Eksponeringen avhenger imidlertid av konfigurasjonen: Enhetene må fungere som en SAML-identitetsleverandør eller tjenesteleverandør for å være sårbare.
Da Citrix publiserte sikkerhetsbulletinen sin, opplyste selskapet at det ikke kjente til noen angrep der sårbarheten ble utnyttet uten at beskyttelsestiltak var på plass.
SAML-konfigurasjonen avgjør eksponeringen
NetScaler ADC håndterer applikasjonstrafikk, mens NetScaler Gateway gir sikker ekstern tilgang til organisasjoners ressurser.
Den nye sårbarheten rammer installasjoner som er konfigurert til å håndtere autentisering gjennom Security Assertion Markup Language (SAML), enten som identitetsleverandør eller tjenesteleverandør.
En identitetsleverandør autentiserer brukere, mens en tjenesteleverandør baserer seg på disse autentiseringsbekreftelsene for å gi tilgang.
Administratorer må derfor kontrollere både den installerte programvareversjonen og enhetens konfigurasjon når de vurderer eksponeringen.
Vellykket utnyttelse kan føre til ekstern kjøring av kode. Alternativt kan angripere utløse en tjenestenekttilstand som forstyrrer tilgjengeligheten ved å få enheter til å krasje.
Citrix lister opp korrigerte NetScaler-versjoner
Citrix anbefaler å oppgradere berørte enheter til riktig korrigert versjon for den aktuelle programvaregrenen.
| Produkt eller versjonsgren | Korrigert versjon |
|---|---|
| NetScaler ADC og Gateway 14.1 | 14.1-73.46 eller nyere |
| NetScaler ADC og Gateway 13.1 | 13.1-64.29 eller nyere innenfor 13.1 |
| NetScaler ADC 14.1-FIPS | 14.1-73.46 FIPS eller nyere innenfor 14.1-FIPS |
| NetScaler ADC 13.1-FIPS og 13.1-NDcPP | 13.1.37.283 eller nyere innenfor den respektive versjonsgrenen |
Selskapet har bedt berørte kunder om å gjennomgå sikkerhetsvarselet og installere de anbefalte oppdateringene så snart som mulig.
Selv om Citrix ikke har rapportert bevis på aktiv utnyttelse, behandler selskapets anbefalinger RCE-sårbarheten i NetScaler som en høyt prioritert sikkerhetsoppdatering.
Internetteksponering fastslår ikke hvor mange systemer som er sårbare
Shadowserver sporer mer enn 21 000 internetteksponerte IP-adresser som viser kjennetegn på NetScaler.
Observasjonene omfatter litt over 1 500 Gateway-instanser og nesten 20 000 NetScaler ADC-enheter.
Disse tallene representerer imidlertid ikke et bekreftet antall sårbare systemer. Noen enheter kan allerede være oppdatert, mangle den nødvendige SAML-konfigurasjonen eller fungere som honeypots.
De tilgjengelige dataene viser derfor plattformens eksponering mot internett uten å fastslå hvor mange installasjoner som er truet av akkurat denne sårbarheten.
Tidligere NetScaler-sårbarheter har tiltrukket seg angripere
Advarselen kommer etter flere sikkerhetshendelser knyttet til NetScaler i løpet av 2026.
I mars oppfordret Citrix kundene til å utbedre CVE-2026-3055 og CVE-2026-4368. Angripere begynte å utnytte disse sårbarhetene noen dager senere.
Deretter, i september, publiserte selskapet sikkerhetsoppdateringer for to aktivt utnyttede nulldagssårbarheter for ekstern kjøring av kode, CVE-2026-88771 og CVE-2026-88772.
Disse angrepene involverte spesialutviklede webshells og skadevare for tunnellering. De muliggjorde også tyveri av påloggingsopplysninger, root-tilgang og videre bevegelse inn i ofrenes interne nettverk.
Tidligere i oktober publiserte Citrix hasteoppdateringer for CVE-2026-88779, som opprinnelig ble beskrevet som en nulldagssårbarhet for tjenestenektangrep. Forskere og administratorer rapporterte senere at angripere også kunne bruke den til ekstern kjøring av kode.
Disse tidligere hendelsene gjelder separate sårbarheter og dokumenterer ikke at CVE-2026-107406 har blitt utnyttet.
Tidligere utnyttelse øker behovet for raske oppdateringer
Siden november 2021 har CISA oppført 27 Citrix-sårbarheter i sin katalog over kjente aktivt utnyttede sårbarheter, Known Exploited Vulnerabilities. Sju av disse har forbindelser til løsepengevirusangrep.
Denne historikken understreker viktigheten av å sikre eksponerte NetScaler-systemer raskt.
For den nylig offentliggjorte sårbarheten anbefaler Citrix at organisasjoner identifiserer berørte SAML-installasjoner og oppgraderer dem til en korrigert versjon.
0 responses to “Kritisk RCE-sårbarhet i NetScaler får Citrix til å advare om behovet for umiddelbar oppdatering”