[TLP:CLEAR] Citrix opravuje aktivně zneužívanou zranitelnost

Citrix opravuje aktivně zneužívanou vysoce závažnou zranitelnost [1] v produktech NetScaler ACD a NetScaler Gateway [2]. Produkty a jejich opravené verze [2]: Citrix NetScaler ADC - 13.1-37.282 FIPS, 13.1-37.282 NDcPP, 13.1-64.28, 14.1-73.41, 14.1-73.41 FIPS Citrix NetScaler Gateway - 13.1-64.28, 14.1-73.41

Citrix NetScaler ADC, Citrix NetScaler Gateway - DoS (CVE-2026-88779)
CVSS 8.7 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné kontrole velikosti příchozích dat umožněno pomocí speciálně upraveného požadavku způsobit přetečení paměti a vykonat tak útok DoS, za předpokladu, že je využívána konfigurace SAML SP nebo SAML IdP (lze ověřit přítomností záznamů 'add authentication samlAction' nebo 'add authentication samlIdPProfile' v konfiguraci) [2].

Zranitelnost se nachází v produktech:

  • Citrix NetScaler ADC; >=13.1 FIPS, <13.1-37.282 FIPS; >=13.1 NDcPP, <13.1-37.282 NDcPP; >=13.1, <13.1-64.28; >=14.1, <14.1-73.41; >=14.1 FIPS, <14.1-73.41 FIPS;
  • Citrix NetScaler Gateway; >=13.1, <13.1-64.28; >=14.1, <14.1-73.41;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Více informací:

  • CVE-2026-88779 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 4. 10. 2026.

Za CESNET, z.s.p.o. Táňa Macháčková dne 5. 10. 2026.

CESNET, z.s.p.o. Logo