NetScaler vydal opravy kritickej chyby CVE-2026-107406 v ADC a Gateway

Kritická zraniteľnosť v SAML konfiguráciách NetScaler ADC a NetScaler Gateway môže umožniť vzdialené spustenie kódu alebo odmietnutie služby. Opravené verzie sú už dostupné.

NetScaler CVE-2026-107406 je kritická zraniteľnosť v produktoch NetScaler ADC a NetScaler Gateway, pre ktorú už Cloud Software Group vydal opravené verzie. Chyba typu pretečenia pamäte má hodnotenie CVSS v4 9,5 z 10 a pri úspešnom útoku môže viesť k vzdialenému spusteniu kódu alebo k odmietnutiu služby.

Dodávateľ vyzýva zákazníkov s dotknutými nasadeniami na čo najrýchlejší upgrade. Austrálske stredisko ACSC 9. októbra zároveň odporučilo nasadiť najnovšie opravy a upozornilo, že staršie záplaty určené pre predchádzajúce chyby NetScaler tento problém neriešia.

Koho sa NetScaler CVE-2026-107406 týka

Zraniteľnosť sa vzťahuje na zákazníkmi spravované inštancie NetScaler ADC a NetScaler Gateway. Nejde však o každý takýto systém: podmienkou sú konfigurácie využívajúce SAML v úlohe service providera (SAML SP) alebo identity providera (SAML IdP). Presné podmienky zraniteľnosti sa líšia podľa používanej vetvy verzie.

NetScaler ADC a Gateway organizácie využívajú na doručovanie aplikácií a vzdialený prístup. Chyba v autentifikačnej konfigurácii preto môže zasiahnuť systémy umiestnené na sieťovom perimetri. Samotná dostupnosť zariadenia z internetu však nie je dôkazom zraniteľnosti; rovnako ju automaticky nepotvrdzuje ani prítomnosť SAML konfigurácie.

Dostupné opravené verzie

Cloud Software Group uvádza opravy v týchto vydaniach alebo novších verziách:

  • NetScaler ADC a NetScaler Gateway 14.1-73.46,
  • NetScaler ADC a NetScaler Gateway 13.1-64.29,
  • NetScaler 14.1-73.46 FIPS,
  • NetScaler 13.1.37.283 FIPS/NDcPP.

Citrix-managed cloudové služby a Citrix-managed Adaptive Authentication podľa dodávateľa aktualizuje samotná Cloud Software Group. Správcovia zákazníkmi prevádzkovaných inštancií musia aktualizáciu vykonať vo vlastnom prostredí.

Riziko vzdialeného spustenia kódu bez prihlásenia

Podľa bulletinu môže NetScaler CVE-2026-107406 pri zraniteľnej konfigurácii umožniť vzdialené spustenie kódu bez prihlásenia alebo vyvolať odmietnutie služby. Oprava je preto relevantná najmä pre tímy, ktoré prevádzkujú SAML SP alebo SAML IdP na zariadeniach ADC či Gateway.

Cloud Software Group pri zverejnení upozornenia uviedol, že nevie o nezmiernenom zneužití chyby. Toto vyjadrenie však nepredstavuje nezávislé potvrdenie, že neexistovali pokusy o exploitáciu. Zverejnený nie je ani potvrdený počet internetovo dostupných zariadení, ktoré sú súčasne zraniteľné.

Čo majú správcovia preveriť

Organizácie by mali identifikovať zákazníkmi spravované systémy NetScaler ADC a Gateway, overiť používanú verziu aj konfiguráciu SAML a nasadiť príslušný opravený build. Pri dotknutých SAML nasadeniach je vhodné preveriť aj dostupné prevádzkové a bezpečnostné logy.

Ďalší vývoj bude závisieť od toho, či bezpečnostní dodávatelia alebo úrady potvrdia aktívne zneužívanie. Dôležité bude aj prípadné vydanie dodatočných indikátorov kompromitácie alebo iných zmierňujúcich opatrení od Cloud Software Group.

Súvisiace články

Zdroje

  • Cloud Software Group / Citrix Support – Oficiálny bulletin potvrdzuje CVE, rozsah dotknutých konfigurácií, CVSS 9,5 a opravené buildy.
  • Australian Cyber Security Centre – Potvrdzuje pridanie CVE-2026-107406 do aktuálneho varovania 9. októbra 2026 a odporúča aplikovať najnovšie záplaty.
  • BleepingComputer – Nezávisle sumarizuje výzvu dodávateľa na urgentnú aktualizáciu a jeho vtedajšie vyjadrenie o neznámych nezmiernených exploitoch.

Overené a aktualizované: 09. 10. 2026 15:19

Značky
Zdieľanie

Súvisiace