В Citrix NetScaler ADC и Citrix NetScaler Gateway выявлена уязвимость, позволяющая предсказывать начальный порядковый номер TCP (ISN) на основе предыдущих значений. Проблема затрагивает ряд версий продуктов и получила оценку CVSS 8.8 (HIGH). Администраторам рекомендуется как можно скорее обновить затронутые системы.
В продуктах Citrix NetScaler ADC и Citrix NetScaler Gateway обнаружена уязвимость, связанная с предсказуемостью начального порядкового номера TCP (Initial Sequence Number, ISN). Слабая энтропия при генерации ISN позволяет злоумышленнику вычислять точное значение на основе ранее наблюдавшихся значений, что создаёт предпосылки для атак на TCP-сессии, включая подмену пакетов и внедрение данных в соединение.
Подробности
Уязвимости присвоен идентификатор CVE-2026-88778, базовая оценка CVSS — 8.8 (HIGH). Тип проблемы описан как «Predictable exact value from previous values» (предсказуемое точное значение на основе предыдущих значений).
Затронуты следующие версии:
- Citrix NetScaler ADC: до 14.1-73.37, до 13.1-64.23, до 14.1-73.37 FIPS и до 13.1.37.279 FIPS и NDcPP;
- Citrix NetScaler Gateway: до 14.1-73.37 и до 13.1-64.23.
Предсказуемость ISN снижает устойчивость TCP-соединений к атакам, эксплуатирующим отсутствие криптографической случайности в номерах последовательности. Подобные слабости традиционно используются для инъекции пакетов и нарушения целостности сессий при определённых условиях сетевой доступности.
Что делать
Основная рекомендация — обновить продукты до версий, в которых уязвимость устранена:
- Citrix NetScaler ADC: 14.1-73.37 и выше, 13.1-64.23 и выше, 14.1-73.37 FIPS и выше, 13.1.37.279 FIPS и NDcPP и выше;
- Citrix NetScaler Gateway: 14.1-73.37 и выше, 13.1-64.23 и выше.
До применения обновлений целесообразно ограничить сетевой доступ к уязвимым интерфейсам, усилить мониторинг аномалий TCP-трафика и по возможности сегментировать инфраструктуру, чтобы снизить вероятность эксплуатации. Также следует проверить официальные рекомендации вендора и применить дополнительные меры защиты, если они предусмотрены.
Итог: CVE-2026-88778 — высокорисковая уязвимость в Citrix NetScaler ADC и Gateway, связанная с предсказуемостью TCP ISN. Единственный надёжный способ устранения — установка исправленных версий; до этого стоит применять компенсирующие меры и внимательно следить за состоянием периметра.
Источник: CVE Project (cvelistV5)
