Citrix NetScaler: kolejna luka zero-day w uwierzytelnianiu SAML wykorzystywana w atakach

Citrix wydał awaryjne poprawki dla NetScaler ADC i NetScaler Gateway. Podatność CVE-2026-88779 (CVSS 8,7) była wykorzystywana w atakach, zanim pojawiła się łatka. Producent opisuje ją jako błąd prowadzący do odmowy usługi, ale z obserwacji ataków wynika, że może pozwalać także na zdalne wykonanie kodu.

Kogo dotyczy

Podatność dotyczy urządzeń, na których działa uwierzytelnianie SAML, czyli skonfigurowanych jako:

• dostawca usługi SAML: w konfiguracji występuje add authentication samlAction,
• dostawca tożsamości SAML: w konfiguracji występuje add authentication samlIdPProfile.

To bardzo częsta konfiguracja przy logowaniu jednokrotnym (SSO) do VPN i aplikacji firmowych.

Jak wyglądają ataki

Według opisanych obserwacji napastnicy wpisują w pole nazwy użytkownika polecenia powłoki. Te polecenia pobierają złośliwy plik z adresu 213.209.159[.]55, zapisują go jako /v i uruchamiają. Nawet tam, gdzie kończy się to „tylko” awarią, napastnik może wielokrotnie wywoływać błąd i odcinać firmę od zdalnego dostępu.

CISA dodała lukę do katalogu aktywnie wykorzystywanych podatności 5 października i dała urzędom federalnym czas do 7 października, z obowiązkiem analizy śladów włamania.

Wersje z poprawką

• NetScaler ADC i Gateway 14.1-73.41
• NetScaler ADC i Gateway 13.1-64.28
• wdrożenia FIPS: 14.1-73.41 FIPS oraz 13.1-37.282

Ważne: jeśli niedawno instalowałeś poprawki dla CVE-2026-88771 do CVE-2026-88778, musisz zaktualizować urządzenie ponownie.

Co zrobić

1. Sprawdź, czy któreś z Twoich urządzeń NetScaler ma skonfigurowany SAML.
2. Zainstaluj wersję z poprawką.
3. Wdróż listy blokad (Global Deny Lists) udostępnione przez producenta.
4. Przejrzyj dzienniki pod kątem nietypowych nazw użytkowników przy logowaniu SAML oraz połączeń do wskazanego adresu IP.

Komentarz SecurHUB

To kolejna w tym roku seria luk w NetScalerach. Urządzenia brzegowe łatane „przy okazji” to dziś jedna z najczęstszych dróg wejścia dla grup ransomware. Warto mieć dla nich osobny, szybszy tryb aktualizacji i stały monitoring, na przykład w ramach usługi SOC.

Źródła: BleepingComputer, CISO Series