Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je ve výchozí konfiguraci umožněno spouštět libovolné příkazy. Výrobce upozorňuje na aktivní zneužívání zranitelnosti [1].

Zranitelnost se nachází v produktech:

• Citrix NetScaler ADC; >=13.1 FIPS, <13.1.37.279 FIPS; >=13.1 NDcPP, <13.1.37.279 NDcPP; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37; >=14.1 FIPS, <14.1-73.37 FIPS;
• Citrix NetScaler Gateway; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Více informací:

• CVE-2026-88771 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 9. 2026.

Neautentizovanému vzdálenému útočníkovi je při povolené konfiguraci DTLS (ve výchozím nastavení zapnuté na VPN vServerech) umožněno spustit libovolný kód nebo způsobit DoS. Výrobce upozorňuje na aktivní zneužívání zranitelnosti [1].

Zranitelnost se nachází v produktech:

• Citrix NetScaler ADC; >=13.1 FIPS, <13.1.37.279 FIPS; >=13.1 NDcPP, <13.1.37.279 NDcPP; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37; >=14.1 FIPS, <14.1-73.37 FIPS;
• Citrix NetScaler Gateway; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37;

CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Více informací:

• CVE-2026-88772 na cve.org, NVD
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 9. 2026.

Neautentizovanému vzdálenému útočníkovi je na virtuálních serverech typu HTTP nebo SSL umožněno provést pašování HTTP požadavků [1].

Zranitelnost se nachází v produktech:

• Citrix NetScaler ADC; >=13.1 FIPS, <13.1.37.279 FIPS; >=13.1 NDcPP, <13.1.37.279 NDcPP; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37; >=14.1 FIPS, <14.1-73.37 FIPS;
• Citrix NetScaler Gateway; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N

Více informací:

• CVE-2026-88773 na cve.org, NVD
• CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 9. 2026.

Neautentizovanému vzdálenému útočníkovi je v konfiguracích Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) nebo AAA virtual server umožněno způsobit nepředvídatelné chování systému nebo DoS [1].

Zranitelnost se nachází v produktech:

• Citrix NetScaler ADC; >=13.1 FIPS, <13.1.37.279 FIPS; >=13.1 NDcPP, <13.1.37.279 NDcPP; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37; >=14.1 FIPS, <14.1-73.37 FIPS;
• Citrix NetScaler Gateway; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N

Více informací:

• CVE-2026-88775 na cve.org, NVD
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 9. 2026.

Neautentizovanému vzdálenému útočníkovi je na TCP virtuálních serverech s vypnutou funkcí Enhanced ISN Generation umožněna predikce sekvenčních čísel TCP. Výrobce jako okamžitou mitigaci doporučuje uvedenou funkci v konfiguraci TCP zapnout [1].

Zranitelnost se nachází v produktech:

• Citrix NetScaler ADC; >=13.1 FIPS, <13.1.37.279 FIPS; >=13.1 NDcPP, <13.1.37.279 NDcPP; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37; >=14.1 FIPS, <14.1-73.37 FIPS;
• Citrix NetScaler Gateway; >=13.1, <13.1-64.23; >=14.1, <14.1-73.37;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:H/SC:L/SI:L/SA:L

Více informací:

• CVE-2026-88778 na cve.org, NVD
• CWE-342: Predictable Exact Value from Previous Values na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 9. 2026.