NetScaler CVE-2026-107406: SAML IdP vulnerabil și după patch

Pentru a treia săptămână la rând, Citrix a publicat un buletin critic pentru NetScaler ADC și NetScaler Gateway gestionate de clienți. Noua vulnerabilitate, CVE-2026-107406 (CVSS 4.0: 9.5), este un overflow de memorie în echipamentele configurate pentru autentificarea SAML și poate duce la execuție de cod de la distanță sau la denial of service. Am semnalat-o pe scurt în articolul despre zero-day-ul SAML CVE-2026-88779; în continuare găsești detaliile tehnice venite odată cu avizele agențiilor naționale.

Cel mai important lucru dacă administrezi NetScaler: build-urile instalate în ultimele săptămâni pentru a închide zero-day-urile nu sunt suficiente. Dacă ai actualizat pentru CVE-2026-88771, CVE-2026-88772 și CVE-2026-88779, iar echipamentul funcționează ca identity provider SAML, trebuie să actualizezi din nou.

Ce s-a întâmplat

Buletinul Citrix (CTX697191) este din 8 octombrie. Pe 9 octombrie l-au preluat Canadian Centre for Cyber Security (avizul AV26-1023) și NCSC din Irlanda, care recomandă instalarea actualizărilor „cu cea mai mare prioritate, după teste temeinice”. Pe 12 octombrie a urmat și avizul KrCERT/CC din Coreea.

Potrivit CSO Online, Citrix declară că nu are cunoștință de exploatarea vulnerabilității pe sisteme neprotejate prin măsuri de atenuare. La 9 octombrie, arată NCSC irlandez, CVE-2026-107406 nu figura în catalogul Known Exploited Vulnerabilities (KEV) al CISA.

Succesiunea rămâne totuși îngrijorătoare. Pe 27 septembrie au fost corectate CVE-2026-88771 și CVE-2026-88772, exploatate deja înainte de patch (am scris despre ele în articolul despre intruziuni). Câteva zile mai târziu a venit CVE-2026-88779, un alt overflow de memorie în configurațiile SAML, exploatat pentru a scoate echipamentele din funcțiune. CVE-2026-107406 lovește din nou funcția SAML, pe care atacatorii au vizat-o deja.

Detalii tehnice

• CVE: CVE-2026-107406, publicată pe 8 octombrie 2026.
• Slăbiciune: CWE-119, restricționarea necorespunzătoare a operațiilor în limitele unui buffer de memorie (KrCERT/CC și NCSC irlandez).
• Gravitate: critică, scor CVSS 4.0 de 9.5.
• Impact: execuție de cod de la distanță sau denial of service (NCSC irlandez și CSO Online).
• Vector: rețea, către un echipament configurat ca service provider (SP) sau identity provider (IdP) SAML. Dacă ar fi exploatată, ar corespunde în MITRE ATT&CK tehnicii T1190 (Exploit Public-Facing Application) și, pentru efectul de DoS, tehnicii T1499.004 (Endpoint Denial of Service: Application or System Exploitation).
• Exploatare cunoscută: niciuna la publicarea avizelor; utilizarea de către operatori ransomware nu este semnalată.

Ce configurații sunt afectate

Condiția diferă în funcție de versiune. Avizul NCSC irlandez preia schema din buletin:

• Doar ca IdP SAML sunt vulnerabile cele mai recente build-uri, adică tocmai cele care corectau zero-day-urile:
  • NetScaler ADC și Gateway de la 14.1-73.37 la 14.1-73.41 inclusiv;
  • NetScaler ADC 14.1-FIPS de la 14.1-73.37 FIPS la 14.1-73.41 FIPS inclusiv;
  • NetScaler ADC și Gateway de la 13.1-64.23 la 13.1-64.28 inclusiv;
  • NetScaler ADC 13.1-FIPS și 13.1-NDcPP de la 13.1-37.279 la 13.1-37.282 inclusiv.
• Ca SP sau IdP SAML sunt vulnerabile build-urile anterioare:
  • NetScaler ADC și Gateway înainte de 14.1-73.37 și înainte de 13.1-64.23;
  • NetScaler ADC 14.1-FIPS înainte de 14.1-73.37 FIPS;
  • NetScaler ADC 13.1-FIPS și 13.1-NDcPP înainte de 13.1-37.279.

Practic: pe un build de la sfârșitul lui septembrie sau începutul lui octombrie, un echipament care funcționează doar ca service provider SAML nu este afectat; unul care funcționează ca identity provider este. Pe build-uri mai vechi ajunge orice configurație SAML. Iar cine este încă pe build-uri mai vechi nu are nici corecțiile pentru zero-day-urile exploatate.

Versiuni corectate: 14.1-73.46 și ulterioare, 13.1-64.29 și ulterioare, 14.1-73.46 FIPS și 13.1-37.283 pentru 13.1-FIPS și 13.1-NDcPP. Toate cele patru surse indică aceleași numere. Canadian Centre for Cyber Security și KrCERT/CC publică doar versiunile, fără condițiile de configurare.

Impactul pentru companiile europene și italiene

NetScaler Gateway este adesea punctul de acces de la distanță pentru angajați, furnizori și aplicații virtualizate, iar rolul de IdP SAML îl face furnizorul de identitate pentru alte aplicații. O execuție de cod pe această componentă i-ar oferi atacatorului o poziție privilegiată pe perimetru; un DoS ar bloca munca tuturor celor care trec prin el. În sănătate, asta înseamnă și accesul de la distanță la sistemele clinice.

Trei actualizări urgente în trei săptămâni pe aceleași echipamente pun procesele la încercare. Pentru entitățile NIS2, gestionarea vulnerabilităților trebuie documentată, cu priorități și termene explicite: aici ai nevoie de dovada că fiecare echipament cu SAML a ajuns la build-urile din 8 octombrie, nu doar la cele de la sfârșitul lui septembrie.

Ce trebuie făcut imediat

1. Fă inventarul versiunilor: listează toate echipamentele NetScaler ADC și Gateway, inclusiv instanțele FIPS și NDcPP, cu build-ul instalat.
2. Verifică rolul SAML: așa cum am arătat în articolul despre CVE-2026-88779, configurația IdP conține linii add authentication samlIdPProfile, iar cea SP linii add authentication samlAction. Acordă prioritate echipamentelor IdP, vulnerabile chiar și cu cele mai recente build-uri.
3. Actualizează: adu echipamentele la 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS sau 13.1-37.283, chiar dacă le-ai actualizat acum câteva zile. Noile build-uri includ corecțiile anterioare.
4. Nu sări peste verificările pentru zero-day-uri: dacă un echipament este încă pe un build anterior lui 14.1-73.37 sau 13.1-64.23, a fost expus și la CVE-2026-88771 și CVE-2026-88772. Înainte de actualizare, caută semne de compromitere, așa cum este descris în articolul despre WHIPSHOT și SLAPSHOT.
5. Urmărește semnalele: repornirile sau blocările anormale ale echipamentelor cu SAML activ trebuie investigate, mai ales după cazul CVE-2026-88779.
6. Verifică catalogul KEV: dacă CISA adaugă CVE-2026-107406, tratează fiecare echipament neactualizat ca potențial compromis.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să găsești rapid echipamentele NetScaler încă neactualizate. ARX Sentry colectează jurnalele dispozitivelor de rețea într-un colector central, astfel încât repornirile anormale și conexiunile suspecte de pe perimetru rămân sub ochii analiștilor. Cu ARX Horizon poți consulta din portal vulnerabilitățile și indicatorii de compromitere.

Ultima actualizare: 12 octombrie 2026