Citrix NetScaler · 2026 年 10 月 8 日
更新 Citrix NetScaler 以修复 CVE-2026-107406
Citrix 描述了一项可能导致远程代码执行或拒绝服务的内存溢出漏洞。受影响的 SAML 角色取决于具体版本：部分中间版本仅在配置为 SAML 身份提供方（IdP）时受影响；更早版本在配置为 IdP 或服务提供方（SP）时均受影响。
请升级到对应产品分支的已修复版本。 修复 CVE-2026-88779 的版本（例如 14.1-73.41 或 13.1-64.28）并不足以修复 CVE-2026-107406：如果设备配置为 SAML IdP，Citrix 仍将这些版本列为受影响版本。该公告未确认漏洞正在被利用；请关注 Citrix 和政府机构的最新公告。 Citrix 公告未报告已观察到的利用情况。NHS England 根据近期 NetScaler 漏洞在 PoC 公开后遭到大规模利用的情况，评估认为本漏洞很可能会被利用；其警报未报告已观察到对本 CVE 的利用。10 月 12 日，NHS England 更正了受影响平台列表，将 14.1-73.41、13.1-64.28 及相应的 FIPS 版本列入其中。
| 受影响版本范围 | Citrix 要求的 SAML 角色 | 最低修复版本 |
|---|---|---|
| ADC/Gateway 14.1，低于 14.1-73.37 | SAML SP 或 SAML IdP | 14.1-73.46 或更高版本 |
| ADC/Gateway 14.1-73.37 至 14.1-73.41（含） | 仅 SAML IdP | 14.1-73.46 或更高版本 |
| ADC/Gateway 13.1，低于 13.1-64.23 | SAML SP 或 SAML IdP | 13.1-64.29 或更高版本 |
| ADC/Gateway 13.1-64.23 至 13.1-64.28（含） | 仅 SAML IdP | 13.1-64.29 或更高版本 |
| ADC 14.1-FIPS，低于 14.1-73.37 FIPS | SAML SP 或 SAML IdP | 14.1-73.46 FIPS 或更高版本 |
| ADC 14.1-FIPS 14.1-73.37 FIPS 至 14.1-73.41 FIPS（含） | 仅 SAML IdP | 14.1-73.46 FIPS 或更高版本 |
| ADC 13.1-FIPS/NDcPP，低于 13.1-37.279 | SAML SP 或 SAML IdP | 13.1.37.283 或更高版本 |
| ADC 13.1-FIPS/NDcPP 13.1-37.279 至 13.1-37.282（含） | 仅 SAML IdP | 13.1.37.283 或更高版本 |
检查 SAML 配置和版本
Citrix 使用 `add authentication samlAction` 标识 SAML SP 配置，使用 `add authentication samlIdPProfile` 标识 SAML IdP 配置。请将运行配置和准确的产品版本与表格对照；不要把“仅 IdP”条件套用于更早的版本范围。公告适用于客户自行管理的 ADC 和 Gateway 设备，也包括 Secure Private Access Hybrid 使用的 NetScaler 实例。Cloud Software Group 会更新由 Citrix 管理的云服务。
步骤 1
确认产品分支
记录设备属于 ADC 还是 Gateway、使用 standard/FIPS/NDcPP 哪条分支，以及准确版本。
步骤 2
确认 SAML 角色
检查 `add authentication samlAction`（SP）和 `add authentication samlIdPProfile`（IdP）。
步骤 3
应用对应条件
Citrix 指出中间版本范围仅在 IdP 配置下受影响；更早版本范围中的两种 SAML 角色均受影响。
步骤 4
升级并验证
安装同一产品分支的修复版本，并在每台设备及高可用对端上核对版本。
- 盘点客户自行管理的 NetScaler ADC/Gateway 设备，以及 Secure Private Access Hybrid 中的 NetScaler 实例。
- 记录准确的 standard、FIPS 或 NDcPP 版本，并在有效配置中检查两个 SAML 命令。
- 按照 Citrix CTX697191 公告中的 SAML 角色条件判断；“仅 IdP”只适用于列出的中间版本范围。
- 按产品分支升级至 14.1-73.46+、13.1-64.29+、14.1-73.46 FIPS+，或将 FIPS/NDcPP 分支升级至 13.1.37.283+。
- 在每台设备和 HA 对端上确认修复版本，并按照常规变更流程测试 SAML 登录与故障切换。
- 重新查看供应商公告以了解利用状态或修复建议的变化；不要仅凭 CVSS 分数推断这些状态。