Citrix je pozvao korisnike da što prije ažuriraju svoje NetScaler sisteme zbog nove kritične ranjivosti koja može omogućiti udaljeno izvršavanje koda ili izazvati uskraćivanje usluge. Ranjivost je označena kao CVE-2026-107406, a prema CVSS v4.0 standardu nosi ocjenu ozbiljnosti 9,5 od maksimalnih 10.
Problem se odnosi na proizvode NetScaler ADC i NetScaler Gateway. Citrix ga klasifikuje pod oznakom CWE-119, koja se odnosi na neadekvatno ograničavanje operacija unutar memorijskog bafera. U praksi, takve greške mogu omogućiti napadaču da manipuliše memorijom na način koji dovodi do izvršavanja neovlaštenih naredbi ili rušenja sistema.
Rizik zavisi od verzije i konfiguracije
Ne smatraju se sve instalacije jednako izloženim. Kod starijih verzija NetScaler softvera ranjivost je prisutna kada je uređaj konfigurisan kao SAML servisni provajder (SP) ili kao SAML provajder identiteta (IdP). Kod nekih novijih verzija problem se odnosi samo na konfiguracije u kojima NetScaler ima ulogu provajdera identiteta.
Administratori bi zato trebali provjeriti Citrixovo sigurnosno upozorenje, utvrditi da li njihova verzija i konfiguracija spadaju među pogođene te instalirati odgovarajuće nadogradnje. Citrix navodi da su ažuriranja potrebna i za Secure Private Access Hybrid implementacije koje koriste NetScaler instance.
Za razliku od upravljanih usluga, kod kojih dobavljač obično sam primjenjuje sigurnosne zakrpe, korisnici koji samostalno održavaju NetScaler moraju ažuriranje izvršiti vlastitim postupkom. Citrix je naveo da će se za njegove upravljane cloud usluge i Adaptive Authentication potrebne izmjene obraditi s njihove strane.
Nova ranjivost dolazi nakon niza upozorenja
Objava dolazi nakon nekoliko sedmica u kojima je Citrix upozoravao na druge sigurnosne probleme u NetScaler okruženju. Kompanija nije navela da li je CVE-2026-107406 bila iskorištavana kao zero-day ranjivost prije javnog otkrivanja. Za pronalazak problema zaslužni su Michael Tucker, Chew Keong Tan i Alex Bernier iz JPMorgan Chaseovog XOR tima, kao i istraživač Maxim Suhanov.
Googleovi istraživači ranije su saopćili da je najmanje od početka septembra trajala kampanja koja je koristila ranjivost CVE-2026-88772. Prema njihovim navodima, potencijalno pogođene organizacije nalazile su se u sektorima državne uprave, finansija, prava i obrazovanja širom Sjeverne Amerike i Evrope.
Citrix je tu ranjivost objavio nekoliko sedmica nakon početka kampanje, u sklopu izdanja kojim je ispravljeno ukupno osam sigurnosnih propusta. Kompanija je prošlog petka otkrila i ranjivost CVE-2026-88779, koja je već bila iskorištavana i ima ocjenu ozbiljnosti 8,7.
Obje ranije spomenute ranjivosti, kao i najnoviji problem, povezane su s memorijskim prelivanjem u konfiguracijama koje koriste SAML. Ipak, CVE-2026-107406 nosi višu ocjenu rizika i može dovesti do udaljenog izvršavanja koda. Citrix zasad nije potvrdio da je upravo ta ranjivost iskorištavana u napadima.
