Citrix (Cloud Software Group) выпустила бюллетень безопасности, закрывающий сразу шесть уязвимостей в продуктах NetScaler ADC (ранее Citrix ADC) и NetScaler Gateway (ранее Citrix Gateway). Большинство из них получили оценку "высокая" по шкале CVSS v4 - от 6,9 до 8,8 баллов. Проблемы затрагивают все поддерживаемые версии 14.1 и 13.1, включая сборки для FIPS и NDcPP. Исследователи уже опубликовали код, демонстрирующий эксплуатацию одной из уязвимостей, что повышает риск атак.
Детали уязвимостей
Среди исправленных брешей - две связаны с недостаточной проверкой входных данных. Первая (CVE-2026-8451) возникает, когда устройство работает в роли провайдера SAML IDP (Identity Provider - поставщика удостоверений). Неверный контроль границ данных приводит к чтению памяти за пределами отведённого буфера, что грозит утечкой конфиденциальной информации. Вторая аналогичная проблема (CVE-2026-10817) проявляется при включённой метке времени в TCP-профиле, который привязан к виртуальному серверу типа балансировки нагрузки (LB), переключения контента (CS) или VPN. Оценки этих уязвимостей - 8,8 и 6,9 соответственно.
Ещё две критические бреши (CVE-2026-8452 и CVE-2026-8655, обе с баллом 8,8) относятся к переполнению памяти. Первая может быть использована, если устройство настроено как шлюз (SSL VPN, ICA Proxy, CVPN, RDP Proxy) или AAA-виртуальный сервер (сервер аутентификации, авторизации и учёта). Вторая - при конфигурации балансировщика для Oracle, DNS-прокси или рекурсивного DNS-резолвера. В обоих случаях злоумышленник способен вызвать сбои в работе и отказ в обслуживании.
Особого внимания заслуживает уязвимость CVE-2026-13474 (оценка 8,7), связанная с неправильным освобождением памяти. Атака выполняется через вредоносные HTTP/2-запросы, которые удерживают системные ресурсы и приводят к "зависанию" служб. Полная защита требует не только установки обновления, но и дополнительной настройки: в профиле HTTP необходимо вручную задать параметр Http2SmallWndTimeout со значением 30 секунд для профилей, не использующих строгий режим.
Наиболее опасной с точки зрения несанкционированного доступа стала уязвимость CVE-2026-10816 (оценка 7,1). Злоумышленник может удалённо, без какой‑либо аутентификации, прочитать произвольные файлы на устройстве, если имеет доступ к NSIP (IP-адрес управления), кластерному адресу или SNIP с включённым управлением. Проблема кроется в подконтрольном пути к файлу (CWE-73). Потенциально это позволяет извлечь конфигурации, ключи шифрования и другие критичные данные.
Для всех уязвимостей существуют чёткие предусловия - определённые роли и настройки самого NetScaler. Например, CVE-2026-8451 эксплуатируется только при заданном профиле SAML IDP, а CVE-2026-10816 требует доступ к интерфейсу управления в локальной сети. Тем не менее, затронуты многие корпоративные сценарии: шлюзы удалённого доступа, балансировщики нагрузки, DNS-прокси, серверы аутентификации. Это делает обновление обязательным для всех владельцев таких устройств.
Citrix рекомендует немедленно обновить NetScaler ADC и Gateway до версий 14.1-72.61 или 13.1-63.18, а для FIPS и NDcPP - до указанных в бюллетене сборок. Важно отметить, что облачные сервисы Citrix получают исправления автоматически; уведомление относится только к решениям, управляемым заказчиком.
Публикация эксплуатационного кода для CVE-2026-8451 подчёркивает необходимость оперативного реагирования. Хотя остальные уязвимости пока не имеют открытых PoC, совместное присутствие в одном продукте как проблем с утечкой данных, так и с удалённым чтением файлов создаёт благоприятные условия для целенаправленных атак. Организациям, использующим NetScaler, следует в кратчайшие сроки инсталлировать патчи и, в случае с CVE-2026-13474, проверить настройки HTTP-профилей. Временных мер защиты, отличных от обновления, Citrix не предоставила.
Регулярные уязвимости такого масштаба напоминают: сетевое оборудование, выполняющее критические функции (аутентификация, балансировка, прокси), остаётся постоянной целью. Недостаточная проверка ввода, переполнение памяти и утечки через управляющие интерфейсы - классические векторы, которые разработчики продолжают закрывать во всех версиях. Оперативное обновление остаётся единственной надёжной защитой.
Ссылки
- https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696604
- https://github.com/derekpreston81/CVE_ADC_IOC_2026
- https://github.com/watchtowrlabs/watchTowr-vs-Netscaler-CVE-2026-8451
