Zero-day NetScaler CVE-2026-88779: DoS pe sistemele cu SAML

📌 Evoluții ulterioare: NetScaler CVE-2026-107406: SAML IdP vulnerabil și după patch (9 octombrie 2026) · Zero-day NetScaler: malware WHIPSHOT și SLAPSHOT, IoC de căutat (29 septembrie 2026)

Citrix a corectat CVE-2026-88779, o vulnerabilitate din NetScaler ADC și NetScaler Gateway care era deja exploatată în atacuri țintite înainte de apariția patch-ului. Este un overflow de memorie. Dacă echipamentul folosește autentificarea SAML, defectul permite blocarea lui de la distanță și întreruperea accesului la serviciile pe care le protejează. Pe 4 octombrie, CISA a inclus-o în catalogul Known Exploited Vulnerabilities (KEV) și le-a dat agențiilor federale americane termen până pe 7 octombrie.

Câteva zile mai târziu, pe 8 octombrie, Citrix a publicat un al doilea buletin pentru CVE-2026-107406. Este tot un overflow de memorie în aceleași configurații SAML, de data aceasta clasificat drept critic și cu posibilă execuție de cod de la distanță.

Ce s-a întâmplat

Vineri, 2 octombrie, în timp ce circulau semnalări de exploatare, Citrix a confirmat că investighează o problemă legată de autentificarea SAML în instalațiile NetScaler administrate de clienți. În weekend a publicat buletinul cu versiunile corectate și o măsură temporară de atenuare. Producătorul confirmă că a observat atacuri țintite împotriva instalațiilor neprotejate, cu efect de denial of service. Afirmă și că integritatea datelor clienților nu a fost afectată. În buletin sunt menționate cu mulțumiri watchTowr și Bishop Fox.

watchTowr a reprodus vulnerabilitatea. Potrivit companiei, o singură cerere special construită este suficientă pentru a scoate echipamentul din funcțiune. Cercetătorii săi cred că atacatorii au folosit defectul ca să provoace intenționat căderea echipamentelor și să grăbească exploatarea CVE-2026-88771, unul dintre cele două zero-day cu execuție de cod corectate de Citrix pe 27 septembrie. Este ipoteza cercetătorilor, iar producătorul nu a confirmat-o.

Detalii tehnice

• CVE: CVE-2026-88779, CVSS 8.7. CISA o clasifică drept restricție incorectă a operațiilor în limitele unui buffer de memorie (CWE-119).
• Produse și versiuni afectate:
  • NetScaler ADC și NetScaler Gateway 14.1 anterioare 14.1-73.41;
  • NetScaler ADC și NetScaler Gateway 13.1 anterioare 13.1-64.28.
• Condiție necesară: echipamentul trebuie să fie configurat ca service provider (SP) sau identity provider (IdP) SAML. În acest caz, configurația conține linii precum add authentication samlAction (SP) sau add authentication samlIdPProfile (IdP).
• Vector: rețea. Atacatorul trimite o cerere special construită către serverul virtual (Gateway sau AAA) care folosește SAML.
• Efect confirmat de Citrix: denial of service. BleepingComputer relatează că cercetători și administratori au indicat ulterior că defectul ar putea fi folosit și pentru execuție de cod. Buletinul producătorului descrie însă doar DoS.
• MITRE ATT&CK: T1190 (Exploit Public-Facing Application) și T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

CVE-2026-107406 (CVSS 9.5) afectează aceleași produse configurate ca SP sau IdP SAML, în anumite condiții de configurare. Afectează și instalațiile Secure Private Access Hybrid care folosesc NetScaler. Versiunile corectate sunt 14.1-73.46, 13.1-64.29 și 14.1-73.46 FIPS, plus 13.1.37.283 pentru 13.1-FIPS și 13.1-NDcPP. La publicarea buletinului, Citrix a declarat că nu are cunoștință de exploatări.

Contextul

Pe 27 septembrie, Citrix a publicat opt CVE pentru ADC și Gateway. Două dintre ele, CVE-2026-88771 și CVE-2026-88772, erau deja exploatate înainte de apariția patch-ului. Potrivit presei, atacurile au vizat instituții publice și organizații din serviciile financiare, educație, domeniul juridic și serviciile profesionale. Atacatorii au instalat web shell-uri și malware de tunelare, au furat credențiale, au obținut privilegii de root și s-au deplasat în rețelele interne. În august, CISA adăugase deja în KEV un alt overflow de memorie al acelorași produse, CVE-2026-8452.

Shadowserver numără peste 21.000 de adrese IP expuse pe Internet cu amprenta NetScaler. Nu se știe câte dintre ele sunt vulnerabile, câte sunt deja actualizate și câte sunt honeypot-uri.

Impactul pentru companiile europene și italiene

NetScaler Gateway este adesea punctul de intrare pentru lucrul de la distanță și pentru aplicațiile virtualizate. Dacă gateway-ul cade, se oprește și munca celor care trec prin el. În sănătate, gateway-ul poate oferi acces de la distanță la sistemele clinice, așa că DoS-ul devine și o problemă de continuitate operațională.

Pentru entitățile supuse NIS2, întreruperea unui serviciu de acces critic poate fi un incident care trebuie evaluat pentru notificarea către CSIRT-ul național. În Italia, acesta este CSIRT Italia din cadrul ACN. În plus, seria de vulnerabilități pe aceleași echipamente cere o gestionare documentată a vulnerabilităților, cu priorități explicite.

Ce ai de făcut acum

1. Identifică echipamentele afectate: fă lista tuturor NetScaler ADC și Gateway, inclusiv instanțele folosite de Secure Private Access Hybrid. Caută în configurație liniile add authentication samlAction și add authentication samlIdPProfile.
2. Actualizează: instalează cel puțin versiunile din buletinul din 8 octombrie (14.1-73.46, 13.1-64.29 și versiunile FIPS și NDcPP corespunzătoare). Sunt ulterioare celor care corectează CVE-2026-88779 (14.1-73.41 și 13.1-64.28).
3. Dacă nu poți actualiza imediat, aplică semnăturile publicate de Citrix prin funcția NetScaler Global Deny List. Este o măsură temporară, până poți instala versiunea corectată.
4. Caută semne de compromitere: rulează scriptul Citrix pentru indicatorii de compromitere. Așa cum subliniază watchTowr, un rezultat curat nu este o dovadă definitivă. Începe cu echipamentele configurate ca Gateway sau server virtual AAA cu SAML activ.
5. Corelează evenimentele: investighează orice repornire sau cădere neașteptată recentă a unui NetScaler. Verifică și că sunt instalate corecțiile pentru CVE-2026-88771 și CVE-2026-88772, pentru că DoS-ul ar fi putut fi folosit tocmai pentru a le exploata.
6. Monitorizează suprafața expusă: verifică ce interfețe NetScaler sunt accesibile din Internet și dacă trebuie cu adevărat să fie.

Cum ajută ARXDOME

ARX Expose îți arată ce servicii expune compania ta pe Internet, ce produse recunoaște pe ele și care au vulnerabilități cunoscute. Așa găsești rapid gateway-urile care trebuie actualizate. ARX Sentry adună logurile dispozitivelor de rețea într-un colector central, ca analiștii să vadă anomaliile de la perimetru. ARX Horizon îți permite să consulți din portal vulnerabilitățile și indicatorii de compromitere.

Ultima actualizare: 9 octombrie 2026