Citrix retter NetScaler-zero-day, mens angreb forstyrrer SAML-implementeringer

Citrix har udgivet nødopdateringer til en NetScaler-zero-day, som angribere har udnyttet mod enheder, der bruger SAML-godkendelse. Sårbarheden, der spores som CVE-2026-88779, kan få berørte systemer til at gå ned og afbryde adgangen til tjenester.

Fejlen i hukommelsesbufferen påvirker NetScaler ADC- og NetScaler Gateway-implementeringer, der bruger SAML-godkendelse med Gateway- eller AAA-funktionalitet. Den har en CVSS-alvorlighedsscore på 8,7.

Samtidig undersøger forskere tegn på mulig fjernkørsel af kode. Citrix har bekræftet denial-of-service-angreb, men den bredere påvirkning undersøges fortsat.

Gentagne angreb kan holde tjenester offline

Ifølge Citrix har angribere målrettet implementeringer, der mangler beskyttelse mod sårbarheden. Gentagen udnyttelse kan medføre, at berørte tjenester forbliver utilgængelige.

Virksomheden siger, at dens analyse har identificeret et tilgængelighedsproblem uden at finde nogen påvirkning af integriteten af kundedata. Denne vurdering afklarer dog ikke forskernes separate bekymringer om mulig kodekørsel.

Administratorer rapporterede først uventede genstarter på enheder, der allerede havde modtaget de tidligere sikkerhedsopdateringer. Nogle beskrev lignende fejl, selv efter at systemerne var blevet genopbygget fra nye images.

Flere rapporter identificerede gentagne nedbrud i godkendelsesprocessen nsaaad. Til sidst nåede NetScalers Pitboss-overvågningsproces sin grænse for genstarter og genstartede enheden.

Nye opdateringer erstatter tidligere sikkerhedsrettelser

Citrix udgav følgende versioner for at håndtere NetScaler-zero-day-sårbarheden:

• NetScaler ADC og Gateway 14.1: 14.1-73.41
• NetScaler ADC og Gateway 13.1: 13.1-64.28
• NetScaler 14.1 FIPS-implementeringer: 14.1-73.41 FIPS
• NetScaler ADC 13.1 FIPS- og NDcPP-implementeringer: 13.1-37.282

Organisationer, der installerede tidligere opdateringer, skal opgradere igen, hvis deres implementeringer opfylder kravene til den berørte konfiguration.

Administratorer kan kontrollere for SAML-tjenesteudbyderkonfigurationer, der indeholder add authentication samlAction. Alternativt kan SAML-identitetsudbyderkonfigurationer indeholde add authentication samlIdPProfile.

Citrix tilbyder også Global Deny Lists til at blokere kendte ondsindede IP-adresser. Virksomheden anbefaler dog, at de nye opdateringer installeres så hurtigt som muligt.

Forskere undersøger mulig kodekørsel

En administrator, der undersøgte nedbrud, fandt manipulerede brugernavne til godkendelse, som indeholdt kommandoer designet til at downloade og køre en ekstern payload.

Disse anmodninger dukkede op umiddelbart før tre bekræftede sekvenser af nedbrud i godkendelsesprocessen. De var også rettet mod flere SAML-godkendelsesfaktorer.

Administratoren understregede dog, at logfilerne viste forsøg på udnyttelse og de tilknyttede nedbrud. De fastslog ikke, at enheden faktisk havde kørt kommandoerne.

Separat rapporterede sikkerhedsforsker Kevin Beaumont om nedbrud på opdaterede NetScaler 13.1- og 14.1-honeypots, der modtog anmodninger fra flere IP-adresser. Han sagde senere, at én honeypot kørte en downloadet binær malwarefil.

Denne observation skaber bekymring for en påvirkning, der går ud over tjenesteafbrydelser. De tilgængelige rapporter fastslår dog ikke endeligt, om CVE-2026-88779 alene muliggjorde den rapporterede kørsel af malware.

Samtidig siger watchTowr Labs, at virksomheden har reproduceret sårbarheden efter at have undersøgt honeypot-aktivitet. Virksomheden har ikke offentliggjort tekniske detaljer.

CISA fastsætter den 7. oktober som frist for afhjælpning

CISA tilføjede CVE-2026-88779 til sit Known Exploited Vulnerabilities-katalog den 4. oktober. Agenturet fastsatte den 7. oktober som frist for afhjælpning for føderale civile myndigheder under den udøvende gren.

Opførelsen understreger, hvor presserende det er at håndtere sårbarheden. For berørte organisationer er den vigtigste forskel, at tidligere NetScaler-patches ikke dækker denne nyligt offentliggjorte sårbarhed.

Citrix’ nuværende vejledning kræver endnu en opgradering af implementeringer, der opfylder kravene til SAML-konfigurationen.