Обновите NetScaler для защиты от CVE-2026-88771 и CVE-2026-88772
Citrix сообщает о выявленной эксплуатации двух критических уязвимостей в NetScaler ADC и Gateway, которыми управляют заказчики. Условия различаются: CVE-2026-88771 затрагивает все развертывания, включая конфигурацию по умолчанию; для CVE-2026-88772 должен быть включен DTLS.
| CVE | Подтвержденная проблема | Условие уязвимости | Серьезность |
|---|---|---|---|
CVE-2026-88771 | Удаленное выполнение кода без аутентификации из-за ненадлежащей проверки входных данных (CWE-20) | Все уязвимые развертывания ADC и Gateway, включая настройки по умолчанию; дополнительные функции не нужны | CVSS 4.0: 9,5 — критическая |
CVE-2026-88772 | Переполнение памяти, способное привести к удаленному выполнению кода или отказу в обслуживании (CWE-119) | Включен DTLS; Citrix указывает, что на VPN virtual server он включен по умолчанию | CVSS 4.0: 9,5 — критическая |
Уязвимые и исправленные сборки NetScaler
Citrix относит поддерживаемые клиентские ветки продуктов ниже исправленных сборок к уязвимым. Установите указанную версию или более позднюю в той же поддерживаемой ветке. Также необходимо обновить экземпляры NetScaler в развертываниях Secure Private Access Hybrid. Cloud Software Group обновляет облачные сервисы под управлением Citrix.
| Ветка продукта | Уязвимые версии | Исправленная версия |
|---|---|---|
| ADC и Gateway 14.1 | До 14.1-73.37 | 14.1-73.37 или новее |
| ADC и Gateway 13.1 | До 13.1-64.23 | 13.1-64.23 или новее |
| ADC FIPS 14.1 | До 14.1-73.37 FIPS | 14.1-73.37 FIPS или новее |
| ADC FIPS / NDcPP 13.1 | До 13.1-37.279 | 13.1-37.279 или новее |
Проверьте уязвимость DTLS для CVE-2026-88772
Для CVE-2026-88771 исключения по конфигурации нет: по данным Citrix, она затрагивает все уязвимые развертывания. Для CVE-2026-88772 проверьте текущую конфигурацию на наличие virtual server с DTLS. Для VPN virtual server DTLS считается включенным, если его явно не отключили; другие virtual server уязвимы, если настроены с типом DTLS. Установите полное обновление Citrix, даже если DTLS выключен: это не устраняет CVE-2026-88771 и другие уязвимости из бюллетеня.
Контрольный список для оценки и реагирования
- Составьте перечень ADC, Gateway и экземпляров NetScaler под управлением заказчика, используемых в Secure Private Access Hybrid; запишите ветку выпуска и сборку каждого устройства.
- В первую очередь обновите все уязвимые сборки: CVE-2026-88771 затрагивает конфигурации без специальных функций и нестандартных настроек.
- Проверьте virtual server с DTLS, чтобы выявить дополнительную уязвимость к CVE-2026-88772; ограничивайте DTLS временно лишь в тех случаях, когда это допускают требования сервиса.
- Установите подходящую исправленную сборку и проверьте ее на каждом устройстве и узле HA-пары.
- Поскольку эксплуатация подтверждена, проверьте устройства на компрометацию по актуальным индикаторам Citrix и рекомендациям Google Mandiant по поиску угроз; установка исправления сама по себе не подтверждает чистоту устройства.
- При подозрении на компрометацию следуйте процессу реагирования на инциденты и указаниям службы поддержки Citrix до возврата устройства в эксплуатацию.
- Рассматривайте CVE-2026-88779 отдельно: это самостоятельная уязвимость отказа в обслуживании при условии настройки SAML, для которой может потребоваться более поздняя сборка. См. отдельный разбор FlawOpen.