Что произошло с NetScaler
8 октября 2026 года Citrix опубликовала информацию о CVE-2026-107406 — ошибке обработки памяти (memory overflow) в NetScaler ADC и NetScaler Gateway. Уязвимость оценивается в 9,5 балла по CVSS v4.0 и потенциально позволяет удалённо выполнить код на устройстве либо вызвать отказ в обслуживании (DoS).
Это особенно неприятно для компаний, в которых NetScaler используется для публикации корпоративных приложений, удалённого доступа и аутентификации пользователей: сбой на таком узле может затронуть сразу множество сотрудников.
Какие системы находятся под угрозой
Проблема касается управляемых заказчиком установок NetScaler ADC и NetScaler Gateway, в которых используется SAML-аутентификация. В зависимости от билда устройство должно быть настроено как SAML SP (поставщик услуг) или SAML IdP (поставщик удостоверений).
Почему важно проверить не только версию
Для более старых билдов 14.1 (ниже 14.1-73.37) и 13.1 (ниже 13.1-64.23) достаточно конфигурации SAML SP или IdP. Для промежуточных билдов 14.1-73.37—14.1-73.41 и 13.1-64.23—13.1-64.28 уязвимость, согласно описанию производителя, актуальна при настройке SAML IdP. Для редакций FIPS/NDcPP действуют соответствующие собственные диапазоны билдов.
Также обновление требуется для затронутых установок Secure Private Access Hybrid с собственными экземплярами NetScaler. Облачные сервисы, которыми управляет Citrix, и Citrix-managed Adaptive Authentication обновляются самим поставщиком.
Как проверить свою установку NetScaler
Шаг 1. Узнать установленный билд
Подключитесь к CLI NetScaler под учётной записью с правами чтения конфигурации и выполните:
show ns versionКоманда выводит версию и номер сборки. Зафиксируйте значения для каждого узла, включая резервный в HA-паре.
Шаг 2. Проверить наличие SAML
Для просмотра настроенных SAML-действий и профилей используйте команды:
show authentication samlAction
show authentication samlIdPProfileПервая команда относится к конфигурации SAML SP, вторая — к SAML IdP. Дополнительно можно просмотреть текущую конфигурацию:
show ns runningConfigИщите строки add authentication samlAction и add authentication samlIdPProfile. Наличие таких записей — повод сопоставить конкретный билд и конфигурацию с условиями уязвимости.
До каких версий нужно обновиться
Для устранения CVE-2026-107406 Citrix указала следующие минимальные исправленные сборки:
| Продукт и ветка | Исправленная сборка |
|---|---|
| NetScaler ADC / Gateway 14.1 | 14.1-73.46 или новее |
| NetScaler ADC / Gateway 13.1 | 13.1-64.29 или новее в ветке 13.1 |
| NetScaler ADC 14.1-FIPS | 14.1-73.46 FIPS или новее |
| NetScaler ADC 13.1-FIPS / 13.1-NDcPP | 13.1-37.283 или новее |
Не стоит ориентироваться только на то, что NetScaler уже обновлялся в конце сентября или начале октября: предыдущие исправления закрывали другие уязвимости, а CVE-2026-107406 требует более новых сборок.
Что сделать администратору прямо сейчас
- Составить список всех NetScaler ADC и Gateway, в том числе резервных узлов и тестовых стендов.
- Проверить версии, роли SAML SP/IdP и доступность устройств из внешних сетей.
- Запланировать установку исправленной сборки с учётом резервного копирования конфигурации, HA и окна обслуживания.
- После обновления проверить билд, работу SAML-входа, доступность приложений и состояние HA.
- Просмотреть журналы на предмет аномальных запросов и неожиданных перезапусков. Сами по себе такие события не доказывают эксплуатацию этой CVE.
Итог
Новая уязвимость CVE-2026-107406 показывает, почему недостаточно один раз обновить NetScaler и забыть о нём. При оценке риска важны одновременно версия прошивки и роль SAML. Если в инфраструктуре используются собственные NetScaler ADC или Gateway, проверьте их сегодня и установите соответствующий исправленный билд.