Citrix objavio hitne zakrpe za NetScaler SAML ranjivost nultog dana

Citrix je tokom vikenda objavio hitne zakrpe za ranjivost CVE-2026-88779 u NetScaler ADC i NetScaler Gateway. Propust je u rukovanju memorijom i pogađa uređaje na kojima je podešena SAML prijava preko Gateway ili AAA funkcije. Kompanija navodi da je ranjivost nultog dana već iskorišćena u ciljanim napadima na nezaštićene NetScaler sisteme i da dovodi do prekida rada usluge.

Prema Citrixovom saopštenju, ranjivost ima ocenu 8,7 po CVSS, a analiza nije pokazala uticaj na integritet podataka. Ispravke su objavljene u verzijama 14.1-73.41 i 13.1-64.28. Za FIPS izdanja preporučuje se 14.1-73.41 FIPS, a za FIPS i NDcPP na 13.1 grani 13.1-37.282. Kompanija nudi i globalne liste za blokiranje poznatih zlonamernih adresa, ali upozorava da one nisu zamena za nadogradnju.

Administratori i istraživači su prethodnih dana prijavili neočekivana ponovna pokretanja već ažuriranih NetScaler uređaja. U log datotekama jednog administratora zabeleženi su sumnjivi podaci za prijavu i pokušaji preuzimanja zlonamernog sadržaja, ali nije potvrđeno da je izvršavanje uspelo. Istraživač Kevin Beaumont je na svojim testnim sistemima video i preuzeti zlonamerni program, dok je watchTowr Labs potvrdio da je ranjivost moguće reprodukovati.

Citrix zvanično opisuje propust kao ranjivost za prekid rada usluge, ali neki istraživači kažu da aktivnost ukazuje i na moguće izvršavanje koda na daljinu. CISA je ranjivost uvrstila u katalog poznatih zloupotrebljenih ranjivosti i saveznim agencijama dala rok do 7. oktobra.

Šta uraditi

• Nadograditi NetScaler ADC i Gateway na ispravljene verzije 14.1-73.41 ili 13.1-64.28.
• Proveriti da li je uređaj podešen kao SAML SP ili SAML IdP, jer su takvi uređaji izloženi.
• Ako ste skoro ugradili ispravke za CVE 2026-88771 do CVE 2026-88778, ponovo nadogradite sistem.
• Eventualno aktivirati globalne liste za blokiranje, ali ih tretirati samo kao privremenu meru.