[TLP:CLEAR] Citrix opravuje kritickú zraniteľnosť

Citrix opravuje kritickú zraniteľnosť v produktoch NetScaler ADC a NetScaler Gateway. Zraniteľné sú len zariadenia používajúce SAML, pričom konkrétne postihnuté verzie sa líšia podľa toho, či sú nakonfigurované ako poskytovateľ služby (SP) alebo poskytovateľ identity (IdP). Podrobnosti sú uvedené na [1]. Produkty a ich opravené verzie [1]: Citrix NetScaler ADC - 13.1-37.283 FIPS, 13.1-37.283 NDcPP, 13.1-64.29, 14.1-73.46, 14.1-73.46 FIPS Citrix NetScaler Gateway - 13.1-64.29, 14.1-73.46

NetScaler ADC, NetScaler Gateway - RCE (CVE-2026-107406)
CVSS 9.5 (Critical)

Neautentizovanému vzdialenému útočníkovi je pri určitej konfigurácii v dôsledku pretečenia pamäte umožnené spustiť ľubovoľný kód alebo spôsobiť DoS útok [1].

Zraniteľnosť sa nachádza v produktoch:

  • Citrix NetScaler ADC; >=13.1 FIPS, <13.1-37.283 FIPS; >=13.1 NDcPP, <13.1-37.283 NDcPP; >=13.1, <13.1-64.29; >=14.1, <14.1-73.46; >=14.1 FIPS, <14.1-73.46 FIPS
  • Citrix NetScaler Gateway; >=13.1, <13.1-64.29; >=14.1, <14.1-73.46

CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:L

Viac informácií:

  • CVE-2026-107406 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 10. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dňa 12. 10. 2026.

CESNET, z.s.p.o. Logo