Критическая RCE в Citrix NetScaler ADC и Gateway — CVE-2026-88771

В продуктах Citrix NetScaler ADC и Citrix NetScaler Gateway выявлена уязвимость критического уровня, связанная с недостаточной проверкой входных данных. Поскольку эксплуатация не требует аутентификации, атакующий, имеющий сетевой доступ к уязвимому компоненту, потенциально может выполнить произвольные команды на устройстве. Учитывая пограничное положение NetScaler в инфраструктуре, успешная эксплуатация может привести к компрометации шлюза и дальнейшему проникновению во внутреннюю сеть.

Подробности

Уязвимость затрагивает следующие продукты и версии:

• Citrix NetScaler ADC: до 14.1-73.37, до 13.1-64.23, до 14.1-73.37 FIPS и до 13.1.37.279 FIPS и NDcPP;
• Citrix NetScaler Gateway: до 14.1-73.37 и до 13.1-64.23.

Тип уязвимости — improper input validation (неверная проверка входных данных), приводящая к удалённому выполнению кода (remote code execution, RCE). Согласно записи CVE, эксплуатация возможна без предварительной аутентификации, что существенно повышает риск. Базовый показатель CVSS составляет 9.5, что соответствует критическому уровню опасности. Точные векторы атаки и детали эксплуатации в записи не раскрываются.

Что делать

Рекомендуется как можно быстрее обновить затронутые системы до исправленных версий, указанных вендором, — перечисленные выше сборки являются уязвимыми, поэтому переход на актуальные релизы закрывает проблему. До установки обновлений целесообразно применить следующие митигации:

• ограничить сетевой доступ к интерфейсам управления и аутентификации NetScaler ADC/Gateway, где это возможно;
• разместить устройства за средствами защиты (WAF, фильтрация трафика) и включить журналирование обращений к ним;
• проверить конфигурацию и убедиться, что неиспользуемые сервисы и открытые порты закрыты;
• усилить мониторинг подозрительной активности на периметре и на самих устройствах.

Поскольку детали эксплуатации в записи CVE не приводятся, следует ориентироваться на официальные рекомендации вендора и отслеживать обновления бюллетеня безопасности Citrix.

Уязвимость CVE-2026-88771 представляет серьёзную угрозу для организаций, использующих Citrix NetScaler ADC и Citrix NetScaler Gateway на периметре сети. Отсутствие требования аутентификации и критический показатель CVSS 9.5 делают приоритетным оперативное обновление до исправленных версий и применение компенсирующих мер до его установки.

Источник: CVE Project (cvelistV5)