Citrix har opfordret administratorer til straks at installere sikkerhedsopdateringer for en kritisk RCE-sårbarhed i NetScaler, der påvirker NetScaler ADC og NetScaler Gateway. Sårbarheden kan gøre det muligt for angribere at udføre kode eksternt eller få berørte enheder til at gå ned.
Sårbarheden, der er registreret som CVE-2026-107406, skyldes en svaghed relateret til hukommelsesoverløb. Eksponeringen afhænger dog af konfigurationen: Enhederne skal fungere som SAML-identitetsudbyder eller tjenesteudbyder for at være sårbare.
Da Citrix offentliggjorde sin sikkerhedsbulletin, oplyste virksomheden, at den ikke havde kendskab til nogen udnyttelse af sårbarheden, hvor der ikke var iværksat afværgeforanstaltninger.
SAML-konfigurationen afgør eksponeringen
NetScaler ADC håndterer applikationstrafik, mens NetScaler Gateway giver sikker fjernadgang til organisationers ressourcer.
Den nye sårbarhed påvirker installationer, der er konfigureret til at håndtere godkendelse via Security Assertion Markup Language (SAML), enten som identitetsudbyder eller tjenesteudbyder.
En identitetsudbyder godkender brugere, mens en tjenesteudbyder baserer sig på disse godkendelseserklæringer for at give adgang.
Administratorer skal derfor kontrollere både den installerede softwareversion og enhedens konfiguration, når de vurderer eksponeringen.
En vellykket udnyttelse kan føre til fjernudførelse af kode. Alternativt kan angribere udløse en tjenestenægtelsestilstand, der forstyrrer tilgængeligheden ved at få enheder til at gå ned.
Citrix offentliggør korrigerede NetScaler-versioner
Citrix anbefaler at opgradere berørte enheder til den relevante korrigerede version for deres softwaregren.
| Produkt eller versionsgren | Korrigeret version |
|---|---|
| NetScaler ADC og Gateway 14.1 | 14.1-73.46 eller nyere |
| NetScaler ADC og Gateway 13.1 | 13.1-64.29 eller nyere inden for 13.1 |
| NetScaler ADC 14.1-FIPS | 14.1-73.46 FIPS eller nyere inden for 14.1-FIPS |
| NetScaler ADC 13.1-FIPS og 13.1-NDcPP | 13.1.37.283 eller nyere inden for den respektive versionsgren |
Virksomheden har bedt berørte kunder om at gennemgå sikkerhedsmeddelelsen og installere de anbefalede opdateringer hurtigst muligt.
Selvom Citrix ikke har rapporteret tegn på aktiv udnyttelse, behandler virksomhedens anbefalinger RCE-sårbarheden i NetScaler som en presserende prioritet for sikkerhedsopdatering.
Interneteksponering fastslår ikke antallet af sårbare systemer
Shadowserver overvåger mere end 21.000 interneteksponerede IP-adresser, der viser NetScaler-kendetegn.
Observationerne omfatter lidt over 1.500 Gateway-instanser og næsten 20.000 NetScaler ADC-enheder.
Disse tal repræsenterer dog ikke et bekræftet antal sårbare systemer. Nogle enheder kan allerede være opdateret, mangle den nødvendige SAML-konfiguration eller fungere som honeypots.
De tilgængelige data viser derfor platformens eksponering mod internettet uden at fastslå, hvor mange installationer denne specifikke sårbarhed truer.
Tidligere NetScaler-sårbarheder har tiltrukket angribere
Advarslen følger efter flere sikkerhedshændelser relateret til NetScaler i løbet af 2026.
I marts opfordrede Citrix kunderne til at udbedre CVE-2026-3055 og CVE-2026-4368. Angribere begyndte at udnytte disse sårbarheder få dage senere.
I september udsendte virksomheden derefter rettelser til to aktivt udnyttede nuldagssårbarheder, der muliggjorde fjernudførelse af kode, CVE-2026-88771 og CVE-2026-88772.
Disse angreb involverede specialudviklede web shells og malware til tunnellering. De muliggjorde også tyveri af loginoplysninger, root-adgang og videre bevægelse ind i ofrenes interne netværk.
Tidligere i oktober udsendte Citrix nødopdateringer til CVE-2026-88779, der oprindeligt blev beskrevet som en nuldagssårbarhed til tjenestenægtelsesangreb. Forskere og administratorer rapporterede efterfølgende, at angribere også kunne bruge den til fjernudførelse af kode.
Disse tidligere hændelser vedrører separate sårbarheder og dokumenterer ikke udnyttelse af CVE-2026-107406.
Tidligere udnyttelse øger behovet for hurtige opdateringer
Siden november 2021 har CISA opført 27 Citrix-sårbarheder i sit katalog over kendte aktivt udnyttede sårbarheder, Known Exploited Vulnerabilities. Syv af dem har forbindelser til ransomwareangreb.
Denne historik understreger vigtigheden af hurtigt at sikre eksponerede NetScaler-systemer.
For den nyligt offentliggjorte sårbarhed anbefaler Citrix, at organisationer identificerer berørte SAML-installationer og opgraderer dem til en korrigeret version.
0 svar til “Kritisk RCE-sårbarhed i NetScaler får Citrix til at advare om behovet for øjeblikkelig opdatering”