Citrix исправила CVE-2026-120869 в NetScaler Console: неаутентифицированный атакующий с сетевым доступом к IP-адресу консоли обходит проверку подлинности и получает доступ к ограниченным ресурсам устройства. Оценка CVSS 4.0 - 9.3, критический уровень. Уязвимы NetScaler Console 14.1 до 14.1-74.34, исправление вышло в 14.1-74.34 и новее. Ошибку нашли в Cloud Software Group с помощью ИИ-анализа кода; сведений об эксплуатации вендор не приводит.
Что позволяет обход аутентификации
NetScaler Console, ранее NetScaler ADM, - централизованная консоль управления NetScaler ADC и NetScaler Gateway. Через неё настраивают, обновляют и мониторят целый парк балансировщиков и шлюзов. Поэтому обход аутентификации в консоли интересен атакующему сам по себе: это управляющая плоскость, а не рядовой сервис (см. разбор эксплуатации Citrix NetScaler без входа в систему).
Ошибка CVE-2026-120869 позволяет неаутентифицированному атакующему, у которого есть сетевой доступ к IP-адресу консоли, обойти проверку подлинности и получить доступ к ограниченным ресурсам устройства. Конкретный механизм и перечень доступных ресурсов Citrix не раскрывает. Оценка CVSS 4.0 - 9.3, критический уровень; вектор сетевой, без привилегий, без участия пользователя и без дополнительных условий эксплуатации.
Из метрик CVSS 4.0 видно, что высоко затронуты все три составляющие: конфиденциальность, целостность и доступность, хотя для смежных систем влияние ниже. То есть ошибка не сводится к утечке данных: успешный обход затрагивает и целостность, и работоспособность консоли. Именно сочетание трёх высоких влияний и даёт критическую оценку при сетевом векторе.
Уязвимость нашла команда безопасности Cloud Software Group с помощью ИИ-анализа кода. Сведений об эксплуатации в реальных атаках вендор не приводит. Это значит, что публичного подтверждения атак нет, но и повода откладывать обновление тоже: консоль управляет инфраструктурой, а обход аутентификации в ней - серьёзная ошибка.
В том же релизе Citrix выпустила обновления для NetScaler ADC и NetScaler Gateway, NetScaler ADC FIPS, Secure Access Client для Windows и Linux и App Layering. В нём несколько десятков уязвимостей, включая критические; для NetScaler Console отдельно указана CVE-2026-120869. Тем, кто использует несколько продуктов, стоит проверить применимость всех выпусков, но в этом материале речь только о консоли.
Условия эксплуатации
Атака идёт по сети и не требует учётной записи: злоумышленнику нужен лишь сетевой доступ к адресу консоли. Участие пользователя и особые условия, судя по вектору, не нужны. Чем шире доступность консоли, например при публикации в интернете, тем выше практический риск.
Круг ресурсов, доступных после обхода, Citrix не описывает. Формулировка про ограниченные ресурсы означает, что без аутентификации видеть их не положено. Консоль администрирования обычно хранит конфигурацию и сведения о подключённых устройствах, поэтому даже ограниченный доступ может дать информацию для дальнейших атак.
Отдельный вопрос - насколько консоль видна из недоверенных сетей. Если доступ к её IP открыт из интернета или из гостевых сегментов, обход аутентификации превращается в удалённую атаку без предварительных условий. Если консоль доступна только из management-сегмента, риск ниже, но не исчезает: скомпрометированная рабочая станция администратора тоже становится точкой входа.
Затронутые версии
Уязвимы NetScaler Console 14.1 до 14.1-74.34, исправление - 14.1-74.34 и новее. Версия накатывается обновлением ПО; проверить текущую сборку стоит в интерфейсе консоли и в инвентаризации.
Остальные продукты, которые обновляет тот же релиз, - NetScaler ADC и NetScaler Gateway, NetScaler ADC FIPS, Secure Access Client для Windows и Linux, App Layering - стоит проверять отдельно по их версиям: у них свои исправления и свои исправленные сборки. В этом материале номера CVE для них не разбираются, потому что источник отдельно выделяет только CVE-2026-120869.
Контекст релиза
Citrix выпустила обновления разом для нескольких продуктов, и в релизе несколько десятков уязвимостей, включая критические. Типичная ошибка при таком обновлении - закрыть только тот продукт, о котором больше говорят, и оставить без внимания остальные компоненты. Поэтому стоит свериться по всему списку из бюллетеня и проверить, какие из перечисленных продуктов вообще используются в инфраструктуре.
Для консоли отдельный риск в том, что её часто воспринимают как вспомогательный инструмент. Но управляющая плоскость ценна сама по себе: через неё видны подключённые устройства и их настройки. Пока вендор не раскрыл объём доступных ресурсов, планировать защиту стоит по худшему сценарию и считать, что доступ к консоли может дать полезные для атакующего сведения.
Что делать
Обновить NetScaler Console до 14.1-74.34 или новее. Если консоль доступна из интернета, после обновления стоит проверить, что публикация убрана или закрыта сетевыми средствами, а доступ к управляющему IP ограничен доверенными сетями.
До установки обновления разумно ограничить доступ к интерфейсу консоли доверенными сетями и посмотреть журналы на попытки обхода аутентификации. Вендор не приводит сведений об эксплуатации, но ошибка критическая, поэтому обновление стоит поставить в приоритет. Журналы стоит проверить и после обновления: это помогает убедиться, что до патча обхода не было.
Порядок действий: инвентаризация консолей и их версий, обновление до 14.1-74.34 и новее, проверка доступности интерфейса из недоверенных сетей, просмотр журналов, отдельная проверка остальных продуктов из того же релиза. Если консоль управляет критичной инфраструктурой, обновление лучше не откладывать до планового окна.
В инвентаризацию стоит включить не только продуктивные экземпляры, но и тестовые, резервные и те, что остались от прошлых проектов. Именно такие консоли часто живут без присмотра и с открытым интерфейсом. После обновления полезно перепроверить, что доступ к управляющему IP есть только из доверенных сегментов, а сам интерфейс не опубликован в интернете.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-120869
- https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697320
