Новиот NetScaler Zero-Day се искористува во таргетирани напади и може да ги исклучи SAML deployment-ите

Објавено: 05.10.2026

Citrix објави безбедносни ажурирања за сериозна безбедносна ранливост во NetScaler ADC и Citrix NetScaler Gateway, која била искористувана како дел од таргетирани zero-day напади.

Ранливоста, заведена како CVE-2026-88779, има CVSS оценка од 8.7 од 10.0.

„CVE-2026-88779 е ранливост од типот memory overflow во Citrix NetScaler ADC и Citrix NetScaler Gateway, која под специфични услови на deployment може да доведе до одбивање на услугата (DoS)“, соопшти Citrix. „Проблемот ги засега deployment-ите на NetScaler со кои управуваат корисниците и кои работат со засегнати поддржани верзии, кога се исполнети потребните предуслови.“

За успешна експлоатација, NetScaler ADC или NetScaler Gateway мора да биде конфигуриран како SAML service provider (SP) или како SAML identity provider (IdP).

Корисниците можат да проверат дали нивниот NetScaler deployment го исполнува предусловот така што ќе ја проверат конфигурацијата за записи што одговараат на следново:

SAML SP – add authentication samlAction
SAML IdP – add authentication samlIdPProfile

Проблемот е поправен во следните верзии:

NetScaler ADC и NetScaler Gateway 14.1-73.41 и понови верзии
NetScaler ADC и NetScaler Gateway 13.1-64.28 и понови верзии од 13.1
NetScaler ADC 14.1-FIPS 14.1-73.41 FIPS и понови верзии од 14.1-FIPS
NetScaler ADC 13.1-FIPS и 13.1-NDcPP 13.1-37.282 и понови верзии од 13.1-FIPS и 13.1-NDcPP

Cloud Software Group, компанијата зад Citrix, им оддаде признание на Bishop Fox и watchTowr за пријавувањето на ранливоста. Во објава споделена на X, watchTowr соопшти дека успеале да ја репродуцираат ранливоста во рок од неколку часа откако забележале активност на NetScaler honeypot системи.

„Citrix забележа таргетирани напади врз NetScaler deployment-и кои не ги примениле мерките за заштита, што може да доведе до одбивање на услугата“, потврди компанијата. „Ако состојбата се активира повеќепати, сервисот може да остане недостапен. Нашата анализа покажува дека овој проблем влијае врз достапноста на сервисот, а не идентификувавме влијание врз интегритетот на податоците на корисниците.“

Закрпите доаѓаат откако Citrix соопшти дека следи новооткриен проблем поврзан со SAML автентикацијата во NetScaler deployment-и со кои управуваат корисниците. Проблемот се однесува на deployment-и кои користат SAML автентикација во комбинација со Gateway или AAA функционалност.

Развојот следува и по извештаите за активна експлоатација на CVE-2026-88771 и CVE-2026-88772 со цел поставување web shell и алатки за тунелирање на компромитирани системи.

Американската Cybersecurity and Infrastructure Security Agency (CISA) во меѓувреме ја додаде CVE-2026-88779 во својот каталог Known Exploited Vulnerabilities (KEV), со што на федералните агенции им е наложено да ги применат закрпите до 7 октомври 2026 година.

Извори:

The Hacker News – New NetScaler Zero-Day Exploited in Targeted Attacks Can Knock SAML Deployments Offline The Hacker News