Śledź Citrix ujawnił CVE-2026-107406, krytyczną podatność na przepełnienie pamięci, wpływającą na urządzenia NetScaler ADC i NetScaler Gateway skonfigurowane do określonych ról uwierzytelniania SAML. Luka posiada wynik CVSS v4.0 równy 9,5 i może umożliwić nieautoryzowanemu zdalnemu atakującemu wykonanie dowolnego kodu lub wywołanie stanu odmowy usługi na podatnych systemach.
Podatność jest szczególnie istotna, ponieważ urządzenia NetScaler często działają na perymetrze sieci i zapewniają uwierzytelnianie, dostarczanie aplikacji i funkcjonalności zdalnego dostępu. Udana eksploatacja może zatem zagrażać infrastrukturze umieszczonej między zewnętrznymi użytkownikami a wrażliwymi zasobami przedsiębiorstwa.
Citrix opublikował biuletyn bezpieczeństwa CTX697191 opublikowany 8 października 2026 roku, wzywając dotknięte organizacje do natychmiastowej aktualizacji. Narażenie zależy nie tylko od zainstalowanej wersji NetScaler, ale także od tego, czy urządzenie jest skonfigurowane jako SAML dostawca usług (SP) lub dostawca tożsamości (IdP). Citrix stwierdził przy ujawnieniu, że nie był świadomy nieusuniętych exploitów ukierunkowanych na tę lukę.
Organizacje mogą wzmocnić swoje obrony przed pojawiającymi się eksploatacjami podatności za pomocą AI-Native Detection Intelligence Platform od SOC Prime, która pomaga zespołom zabezpieczeń przyspieszać inżynierię wykrywania zagrożeń, polowania na zagrożenia i prowadzenie dochodzeń w różnych środowiskach bezpieczeństwa.
Specjaliści ds. bezpieczeństwa mogą również korzystać z możliwości Prime Architect i Uncoder AI, aby przekształcać informacje o zagrożeniach w logikę wykrywania, generować zapytania łowieckie, dostosowywać wykrycia do telemetrii organizacyjnej i tłumaczyć zasady w obsługiwanych technologiach SIEM, EDR, XDR i Data Lake.
Analiza CVE-2026-107406
CVE-2026-107406 wpływa na zarządzane przez klienta urządzenia NetScaler ADC i NetScaler Gateway działające na podatnych wersjach i skonfigurowane z odpowiednią funkcjonalnością SAML. Citrix opisuje problem jako podatność na przepełnienie pamięci, która może prowadzić do zdalnego wykonywania kodu lub odmowy usługi. Jest sklasyfikowana pod CWE-119, Nieprawidłowe Ograniczenie Operacji w Granicach Bufora Pamięci.
Wektor CVSS wskazuje, że eksploatacja może nastąpić zdalnie przez sieć bez uwierzytelnienia czy interakcji użytkownika. Jednakże Citrix ocenia złożoność ataku jako wysoką, sugerującą, że udana eksploatacja wymaga określonych warunków technicznych poza samym uzyskaniem dostępu do podatnego urządzenia.
Dokładne warunki narażenia różnią się w zależności od kompilacji oprogramowania. Wydania NetScaler ADC i Gateway pomiędzy 14.1-73.37 a 14.1-73.41, włącznie, oraz wersje pomiędzy 13.1-64.23 a 13.1-64.28 są podatne, gdy są skonfigurowane jako SAML IdP. Równoważne zakresy podatności istnieją także dla NetScaler ADC 14.1-FIPS i 13.1-FIPS/NDcPP.
Starsze wspierane wydania mają szerszą ekspozycję. Kompilacje wcześniejsze niż 14.1-73.37 lub 13.1-64.23 mogą być podatne, gdy są skonfigurowane jako SAML SP lub SAML IdP. Administratorzy muszą zatem ocenić zarówno wersję urządzenia, jak i konfigurację uwierzytelnienia, zamiast polegać wyłącznie na informacji o wersji.
Citrix zaleca sprawdzenie konfiguracji NetScaler pod kątem pojawienia się poleceń: add authentication samlAction, oznaczającego konfigurację SAML SP, oraz add authentication samlIdPProfile, identyfikującego konfigurację SAML IdP. Te wpisy powinny być następnie skorelowane z odpowiednimi podatnymi zakresami kompilacji.
Bezpieczne wdrożenia Secure Private Access Hybrid używające dotkniętych instancji NetScaler również są narażone i wymagają aktualizacji. Usługi zarządzane przez Citrix w chmurze i Citrix-managed Adaptive Authentication są obsługiwane osobno, ponieważ Cloud Software Group stosuje konieczne aktualizacje oprogramowania w tych zarządzanych środowiskach.
Luka została zgłoszona poprzez skoordynowane ujawnienie podatności, przy czym Citrix przypisał zasługi Michaelowi Tuckerowi, Chew Keong Tanowi i Alexowi Bernierowi z zespołu JPMorgan Chase XOR, jak również Maximowi Suhanovowi. Sprzedawca nie ujawnił publicznie dokładnej daty, w której lukę początkowo odkryto.
W momencie publikacji ani Citrix, ani wspomniane raporty nie identyfikują publicznie dostępnego PoC dla CVE-2026-107406 ani potwierdzonej kampanii eksploatacyjnej realnego świata. Niemniej jednak, krytyczna waga podatności, dostępność sieciowa i potencjał wykonania nieautoryzowanego kodu sprawiają, że szybkie usunięcie jest priorytetem.
Aby wykryć CVE-2026-107406, zespoły ds. bezpieczeństwa powinny najpierw zidentyfikować narażone urządzenia poprzez skorelowanie wersji NetScaler z konfiguracjami SAML SP i IdP. Obrońcy powinni również sprawdzić telemetrię NetScaler pod kątem nieoczekiwanej niestabilności usług, awarii, nietypowej aktywności sieciowej lub innego zachowania, które może wskazywać na próby eksploatacji uszkodzenia pamięci.
Łagodzenie CVE-2026-107406
Citrix zdecydowanie zaleca jak najszybszą aktualizację dotkniętych urządzeń NetScaler. Dostawca wydał załatane kompilacje obejmujące wspierane gałęzie produktów.
- NetScaler ADC i NetScaler Gateway 14.1: zaktualizuj do 14.1-73.46 lub nowszej; NetScaler ADC i Gateway 13.1: zaktualizuj do 13.1-64.29 lub nowszej; NetScaler ADC 14.1-FIPS: zaktualizuj do 14.1-73.46 FIPS lub nowszej; NetScaler ADC 13.1-FIPS i 13.1-NDcPP: zaktualizuj do 13.1-37.283 lub nowszej.
Organizacje prowadzące hybrydowe wdrożenia Secure Private Access również powinny upewnić się, że podstawowe instancje NetScaler są zaktualizowane do odpowiednich wydanych poprawek. Urządzenia, które osiągnęły koniec życia, powinny być migrowane do wspieranych wersji, zamiast pozostawiania ich narażonych na nieaktualnych kompilacjach.
Administratorzy mogą używać funkcji NetScaler Console Security Advisory do zidentyfikowania dotkniętych instancji poprzez skanowanie wersji i inicjowanie zalecanego procesu aktualizacji. To może pomóc organizacjom ocenić wiele urządzeń NetScaler i priorytetyzować podatne systemy do usunięcia zagrożeń.
Aby wykryć eksploatację CVE-2026-107406, zespoły ds. bezpieczeństwa powinny skanować systemy NetScaler wystawione na działanie internetu, określić ich dokładne wersje i zweryfikować, czy każde urządzenie działa jako SAML SP, SAML IdP lub oba. Ponieważ dostawca nie ujawnił specyficznych wskaźników IOC dla eksploatacji CVE-2026-107406, obrońcy powinni unikać polegania wyłącznie na statycznych wskaźnikach i zamiast tego łączyć zarządzanie ekspozycją na podatności z monitorowaniem behawioralnym.
Zespoły ds. bezpieczeństwa powinny również badać podejrzaną aktywność wokół dotkniętych urządzeń i korelować zdarzenia NetScaler z telemetrią zapory sieciowej, tożsamości, punktu końcowego i sieciową. Każda nieoczekiwana awaria usługi lub nietypowa aktywność dotycząca zewnętrznie dostępnych punktów końcowych SAML powinny otrzymać dodatkowe badania, aż do zaktualizowania dotkniętych instancji.
AI-Native Detection Intelligence Platform od SOC Prime może pomóc organizacjom w operacjonalizacji pojawiających się informacji o zagrożeniach, przyspieszeniu inżynierii wykrywania i poprawie widoczności potencjalnej eksploatacji podatności w ich infrastrukturze bezpieczeństwa.
FAQ
Czym jest CVE-2026-107406 i jak działa?
CVE-2026-107406 to krytyczna podatność na przepełnienie pamięci w Citrix NetScaler ADC i NetScaler Gateway. Nieautoryzowany zdalny atakujący może być w stanie wywołać uszkodzenie pamięci, które prowadzi do wykonania dowolnego kodu lub odmowy usługi. Eksploatacja zależy od dotkniętej wersji oprogramowania i tego, czy urządzenie jest skonfigurowane jako SAML SP lub SAML IdP.
Kiedy po raz pierwszy odkryto CVE-2026-107406?
Citrix nie opublikował dokładnej daty początkowego odkrycia. Podatność została publicznie ujawniona w biuletynie bezpieczeństwa CTX697191 opublikowanym 8 października 2026 roku. Citrix przypisał zasługi badaczom z zespołu JPMorgan Chase XOR i Maximowi Suhanovowi za odpowiedzialną współpracę z dostawcą w tej sprawie.
Jaki jest wpływ CVE-2026-107406 na systemy?
Udana eksploatacja może pozwolić nieautoryzowanemu atakującemu na wykonanie dowolnego kodu na podatnym urządzeniu NetScaler lub spowodowanie odmowy usługi. Ponieważ systemy te często zapewniają usługi dostarczania aplikacji i uwierzytelniania dostępne z internetu, kompromitacja może stwarzać istotne zagrożenia bezpieczeństwa dla połączonej infrastruktury przedsiębiorstwa.
Czy CVE-2026-107406 może na mnie wpłynąć w 2026 roku?
Tak. Zarządzane przez klientów urządzenia NetScaler ADC i Gateway działające na dotkniętych kompilacjach pozostają narażone, jeśli spełniają odpowiednie prewarunki konfiguracji SAML i nie zostały zaktualizowane. Usługi w chmurze zarządzane przez Citrix otrzymują potrzebne aktualizacje bezpośrednio od Cloud Software Group.
Jak mogę się chronić przed CVE-2026-107406?
Jak najszybciej zaktualizuj dotknięte urządzenia NetScaler ADC i Gateway do zaleconych przez dostawcę poprawionych kompilacji. Zweryfikuj zarówno wersje oprogramowania, jak i konfiguracje SAML, priorytetyzuj systemy dostępne z zewnątrz i badaj anomalne zachowanie urządzeń. Administratorzy powinni nadal monitorować biuletyn bezpieczeństwa Citrix w poszukiwaniu zaktualizowanych szczegółów dotyczących CVE-2026-107406.
