Pojawiła się nowa luka zero-day o wysokiej wadze, dotycząca Citrix NetScaler ADC i NetScaler Gateway, po ujawnieniu dwóch krytycznych luk umożliwiających zdalne wykonanie kodu w tej samej rodzinie produktów.
Nowo ujawniona luka, śledzona jako CVE-2026-88779, to podatność typu przepełnienie pamięci, która może spowodować odmowę usługi (DoS) we wdrożeniach NetScaler skonfigurowanych jako SAML Service Provider (SP) lub SAML Identity Provider (IdP). Citrix ocenia ją na 8,7 w skali CVSS v4.0.
Nowa luka na już atakowanej platformie
Moment ujawnienia czyni CVE-2026-88779 szczególnie istotną.
27 września Citrix ujawnił szerszy zestaw luk w NetScaler, w tym CVE-2026-88771 i CVE-2026-88772, obie krytyczne i już wykorzystywane w atakach. Pierwsza umożliwiała zdalne wykonanie kodu w konfiguracji domyślnej, a druga dotyczyła uszkodzenia pamięci we wdrożeniach z włączonym DTLS.
Badacze bezpieczeństwa zaobserwowali następnie wykorzystywanie tych luk, w tym aktywność z użyciem web shelli i próby uzyskania wrażliwych danych konfiguracyjnych NetScaler.
CVE-2026-88779 dodaje inne ryzyko: zakłócenie dostępności.
Jak działa CVE-2026-88779
Citrix opisuje problem jako podatność typu przepełnienie pamięci prowadzącą do odmowy usługi (DoS). Luka dotyczy konkretnie urządzeń NetScaler skonfigurowanych do pracy jako SAML SP lub SAML IdP.
Luka została sklasyfikowana jako CWE-119, obejmująca nieprawidłowe ograniczenie operacji w granicach bufora pamięci.
Wektor CVSS v4.0 wskazuje, że lukę można wykorzystać zdalnie, nie wymaga ona uprawnień ani interakcji użytkownika i może powodować wysoki wpływ na dostępność systemu.
Dla firm polegających na NetScaler w zakresie uwierzytelniania i dostarczania aplikacji powtarzające się zakłócenia mogą mieć skutki wykraczające poza samo urządzenie. Jeśli usługi uwierzytelniania staną się niedostępne, pracownicy i klienci mogą utracić dostęp do aplikacji i usług wystawionych na zewnątrz, które zależą od dotkniętej infrastruktury.
CISA dodaje lukę do katalogu KEV
Luka została teraz dodana do katalogu Known Exploited Vulnerabilities (KEV) amerykańskiej Agencji ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA), co wskazuje, że zaobserwowano jej wykorzystywanie, i zwiększa pilność działań dla dotkniętych organizacji.
Jest to szczególnie ważne dla amerykańskich agencji federalnych obsługujących dotkniętą infrastrukturę NetScaler, w przypadku których luki wpisane do KEV podlegają obowiązkowym terminom usunięcia.
Organizacje powinny zatem traktować CVE-2026-88779 jako aktywny problem bezpieczeństwa, a nie rutynowy element zarządzania podatnościami.
Które wdrożenia NetScaler są dotknięte?
Według Citrix dotknięte wersje obejmują:
- NetScaler ADC i NetScaler Gateway 14.1 przed 14.1-73.41
- NetScaler ADC i NetScaler Gateway 13.1 przed 13.1-64.28
- wersje 14.1-FIPS przed 14.1-73.41 FIPS
- wersje 13.1-FIPS / 13.1-NDcPP przed 13.1-37.282
Warunkiem wstępnym jest konfiguracja urządzenia jako SAML SP lub SAML IdP.
Citrix wydał poprawione kompilacje i zdecydowanie zaleca dotkniętym klientom jak najszybszą aktualizację.
Co powinny zrobić firmy
Firmy obsługujące NetScaler ADC lub Gateway powinny w pierwszej kolejności wykonać następujące działania:
✅ Zidentyfikuj wystawione urządzenia
Zinwentaryzuj infrastrukturę NetScaler dostępną z internetu i ustal, które systemy korzystają z uwierzytelniania SAML.
✅ Zweryfikuj dotknięte wersje
Sprawdź każde urządzenie pod kątem poprawionych wersji Citrix, zamiast zakładać, że wcześniejsze awaryjne aktualizacje w pełni usuwają nową lukę.
✅ Natychmiast zainstaluj poprawki
Zaktualizuj dotknięte systemy do kompilacji zalecanych przez Citrix. CVE-2026-88779 wymaga nowszych poprawek niż te wydane dla wrześniowych luk.
✅ Przejrzyj wcześniejsze wskaźniki naruszenia bezpieczeństwa
Ponieważ CVE-2026-88779 pojawia się po potwierdzonym wykorzystaniu innych luk zero-day w NetScaler, samej instalacji poprawek nie należy traktować jako dowodu, że urządzenie jest czyste. Firmy, które były narażone na CVE-2026-88771 lub CVE-2026-88772, powinny przejrzeć logi, zmiany konfiguracji, aktywność uwierzytelniania i potencjalne wskaźniki obecności web shelli.
✅ Monitoruj infrastrukturę uwierzytelniania
Zwróć szczególną uwagę na nietypową aktywność SAML, powtarzające się zakłócenia usług, nieoczekiwane zmiany administracyjne i anomalne połączenia z udziałem urządzeń NetScaler.
Szerszy obraz bezpieczeństwa
Ostatnia aktywność wokół NetScaler pokazuje, jak szybko podatne urządzenie brzegowe może stać się szerszym problemem bezpieczeństwa przedsiębiorstwa.
Pierwsza fala dotyczyła zdalnego wykonania kodu i potencjalnego przejęcia systemu. Nowo ujawniona CVE-2026-88779 wprowadza osobne zagrożenie dostępności dla wdrożeń z włączonym SAML, rozszerzając skutki dla bezpieczeństwa z potencjalnego przejęcia na zakłócenie usług zależnych od uwierzytelniania.
Dla firm używających NetScaler na styku swoich środowisk wniosek jest prosty: infrastrukturę wystawioną do internetu należy traktować jako powierzchnię ataku o wysokim priorytecie, zwłaszcza gdy w tej samej platformie aktywnie wykorzystywanych jest wiele luk.
Awaryjne instalowanie poprawek, zarządzanie ekspozycją i poszukiwanie śladów po wykorzystaniu luk powinny zatem działać razem, a nie jako oddzielne procesy bezpieczeństwa.
