Переполнение памяти в NetScaler при условии SAML — CVE-2026-88779 в KEV (срок 7 октября)
Citrix раскрыла недостаток границ буфера памяти в NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix сообщает, что наблюдала целенаправленные атаки на развертывания без мер защиты, которые могут привести к отказу в обслуживании. Включение в KEV CISA устанавливает эксплуатацию уязвимости, а краткое описание говорит, что недостаток может позволить отказ в обслуживании. Ни один из источников не подтверждает, что затронутые развертывания были фактически остановлены. CISA добавила запись 4 октября, срок для федеральных ведомств — 7 октября. Вместе с CVE-2026-88771 и CVE-2026-88772 (обе добавлены 27 сентября) это третья запись KEV для NetScaler, добавленная в течение двух недель, а не третья запись продукта за все время (в каталоге уже есть более ранние записи, включая CVE-2023-4966). Сигнатуры Global Deny List (v24 или новее) — временная мера, исправление поставляется в 14.1-73.41 / 13.1-64.28 или новее.
Эта статья была переведена машиной.
3 октября (по тихоокеанскому дневному времени) Citrix опубликовала CVE-2026-88779 для NetScaler ADC (ранее Citrix ADC) и NetScaler Gateway (ранее Citrix Gateway) в бюллетене безопасности CTX697174 и в пояснительной статье для сообщества. Она классифицирована как CWE-119 (Некорректное ограничение операций в пределах границ буфера памяти) с базовым баллом CVSS v4.0 8.7 (CNA: NetScaler). Проблема затрагивает развертывания NetScaler, управляемые клиентами, которые используют аутентификацию SAML вместе с функциональностью Gateway или AAA. Затронутые версии: ADC и Gateway 14.1 до 14.1-73.41 и 13.1 до 13.1-64.28, ADC FIPS до 14.1-73.41 FIPS, а также ADC FIPS и NDcPP до 13.1-37.282 (Citrix CTX697174; NVD опубликован 4 октября 2026 г.). Citrix сообщает, что наблюдала целенаправленные атаки на развертывания без мер защиты, которые могут привести к отказу в обслуживании. Краткое описание KEV CISA говорит, что недостаток может позволить отказ в обслуживании, а включение в каталог устанавливает эксплуатацию уязвимости. Ни один источник не подтверждает, что затронутые развертывания были фактически остановлены. Анализ Citrix не выявил влияния на целостность данных клиентов.
CISA добавила уязвимость в свой каталог KEV 4 октября, дав федеральным гражданским ведомствам срок до 7 октября для реагирования (BOD 26-04, три дня с момента включения в список). Примечания KEV требуют применения мер защиты, указанных вендором, в соответствии с BOD 26-04 и требованиями CISA к форензическому триажу; форензический триаж отмечен как Yes, а использование в известных кампаниях вымогателей — как Unknown (каталог CISA KEV 2026.10.04, всего 1734 записи). Citrix предлагает самопроверку конфигурации для предварительных условий: развертывание соответствует им, если оно настроено как SAML SP (add authentication samlAction) или как SAML IdP (add authentication samlIdPProfile). Сигнатуры Global Deny List, поставляемые Citrix (v24 или новее), доступны в версиях от 14.1-73.37 до 14.1-73.41 (не включая последнюю) и от 13.1-64.23 до 13.1-64.28 (не включая последнюю), при условии включения виртуального патчинга в NetScaler Console и наличия видимой Encrypted Version в выводе show appfw signatures.
Анализ (отдельно от изложения фактов): две записи KEV, добавленные 27 сентября, не обусловлены SAML. CTX697096 указывает, что CVE-2026-88771 (некорректная проверка входных данных, которая может позволить неаутентифицированному злоумышленнику выполнять произвольные команды) затрагивает все развертывания NetScaler ADC и NetScaler Gateway, включая конфигурацию по умолчанию, без необходимости включать дополнительную функцию. CTX697096 указывает, что CVE-2026-88772 (переполнение памяти, которое может привести к удаленному выполнению кода или отказу в обслуживании) требует DTLS, включенного по умолчанию на VPN vServer. Вместе с CVE-2026-88779, добавленной 4 октября, это три записи KEV для NetScaler, добавленные в течение двух недель. В каталоге уже есть более ранние записи NetScaler, включая CVE-2023-4966 (добавлена 18 октября 2023 года), поэтому это не третья запись продукта за все время. Citrix не говорит, есть ли у этих трех общая корневая причина. Облачные сервисы под управлением Citrix находятся вне бюллетеня для развертываний, управляемых заказчиком.
Последствия для защитников: (1) если в вашей среде есть конфигурация SAML SP или IdP, немедленно сверьте развернутую версию с CTX697174 и обновите 14.1 до 14.1-73.41 или новее, 13.1 до 13.1-64.28 или новее, а FIPS / NDcPP до 14.1-73.41 FIPS / 13.1-37.282 или новее; среды, которые уже были обновлены для CTX697096 (бюллетень по CVE-2026-88771 через CVE-2026-88778), все еще нуждаются в дополнительном обновлении, если они соответствуют предварительным условиям. (2) В качестве временной меры до обновления примените сигнатуры Global Deny List (v24 или новее) и проверьте счетчики командой stat denylist global AAA_REQUEST. Процедура проверки Citrix говорит, что значение больше нуля показывает, что правила работают. (3) Примечания KEV устанавливают forensicTriage в Yes и требуют криминалистическую сортировку по BOD 26-04. Для этой уязвимости предусловие CTX697174 — SAML SP (add authentication samlAction) или SAML IdP (add authentication samlIdPProfile). У CVE-2026-88771 и CVE-2026-88772 другие предусловия в CTX697096.