Критическая уязвимость переполнения памяти в Citrix NetScaler ADC и Gateway (CVE-2026-88772)
В Citrix NetScaler ADC и Citrix NetScaler Gateway обнаружена критическая уязвимость переполнения памяти, приводящая к удалённому выполнению кода или отказу в обслуживании. Под угрозой широкий спектр версий, включая FIPS- и NDcPP-сборки. Оценка CVSS — 9.5, что соответствует максимальному уровню критичности.
Подробности
Уязвимость переполнения памяти (memory overflow) затрагивает следующие версии продуктов: - Citrix NetScaler ADC: до 14.1-73.37, до 13.1-64.23, до 14.1-73.37 FIPS, до 13.1.37.279 FIPS и NDcPP; - Citrix NetScaler Gateway: до 14.1-73.37 и до 13.1-64.23. Тип уязвимости — переполнение памяти, которое при определённых условиях может привести как к удалённому выполнению кода, так и к отказу в обслуживании. Согласно оценке CVSS, базовый балл составляет 9.5 (CRITICAL), что указывает на максимальную степень опасности: эксплуатация не требует значительных привилегий и может проводиться удалённо. Отдельно стоит отметить, что под уязвимость подпадают FIPS-сборки и конфигурации, соответствующие требованиям NDcPP (Network Device collaborative Protection Profile) — то есть решения, применяемые в средах с повышенными требованиями к безопасности, включая государственный и регулируемый сектор.Что делать
Основная рекомендация — как можно скорее обновить продукты до исправленных версий: - NetScaler ADC: 14.1-73.37 и выше, либо 13.1-64.23 и выше; для FIPS-веток — 14.1-73.37 FIPS и 13.1.37.279 FIPS и выше; - NetScaler Gateway: 14.1-73.37 и выше, либо 13.1-64.23 и выше. Если немедленное обновление невозможно, следует рассмотреть временные компенсирующие меры: ограничение сетевого доступа к интерфейсам управления NetScaler, сегментацию периметра, усиленный мониторинг подозрительной активности и аномалий в работе балансировщика, а также проверку журналов на предмет попыток эксплуатации. При наличии возможности стоит согласовать сроки обновления с ИБ-подразделением и провести проверку инфраструктуры на предмет индикаторов компрометации. Итог: CVE-2026-88772 — критическая уязвимость с максимальной оценкой CVSS 9.5, способная привести к RCE или DoS на устройствах Citrix NetScaler ADC и Gateway. Организациям, использующим данные продукты, необходимо в приоритетном порядке установить актуальные обновления и проверить конфигурации, особенно в сегментах с повышенными требованиями к защите.Источник: CVE Project (cvelistV5)