Citrix NetScaler ADC и Gateway: критични грешки в паметта позволяват отказ на услуга (CVE-2026-120868)

Какво се случи

На 13 ноември 2026 г. Citrix публикува актуализации за сигурност за NetScaler ADC и NetScaler Gateway (консултация CTX697305). Най-широко приложимата грешка е CVE-2026-120868 (CVSS 9.3). Тя представлява препълване на паметта при обработката на пакети, което може да доведе до непредсказуемо или грешно поведение или до отказ на услуга (DoS). Според консултацията тя засяга всички внедрявания на NetScaler ADC и NetScaler Gateway, независимо от конфигурацията им.

Същата версия отстранява още осем критични грешки в паметта. Всяка от тях има значение само ако е конфигурирана определена функция:

• CVE-2026-107407 (CVSS 9.3): препълване на паметта при SMPP трафик. Засяга виртуални сървъри за балансиране на натоварването или превключване на съдържание от тип SMPP.
• CVE-2026-107408 (CVSS 9.3): повреда на паметта в DNS / DNS-over-HTTPS. Засяга устройства, конфигурирани за DNS балансиране на натоварването и рекурсивно DNS разрешаване.
• CVE-2026-107409 (CVSS 9.3): повреда на паметта в DNS-over-HTTPS. Засяга DNS балансиране на натоварването през HTTPS.
• CVE-2026-107410 (CVSS 9.3): препълване на паметта в NetScaler Push. Засяга виртуални сървъри за балансиране на натоварването от тип PUSH.
• CVE-2026-107412 (CVSS 9.5): множество препълвания на паметта. Засяга устройства, конфигурирани като виртуален сървър Gateway или AAA.
• CVE-2026-107415 (CVSS 9.3): препълване на паметта при удостоверяване чрез Email OTP. Засяга конфигурации с Email Action.
• CVE-2026-111344 (CVSS 9.3): препълване на паметта в Endpoint Analysis (EPA/EPAS). Засяга виртуални сървъри VPN или AAA, които използват Endpoint Analysis.
• CVE-2026-120864 (CVSS 9.3): препълване на паметта в ICA прокситo. Засяга виртуални сървъри Gateway VPN, AAA или CR (тип HDX).

Всички те могат да доведат до непредсказуемо поведение или отказ на услуга. Към момента на публикуването Citrix заяви, че не е известна експлоатация на тези уязвимости. CISA не ги води като експлоатирани.

В същия ден Citrix отстрани и три грешки в други продукти, всяка в собствена консултация:

• CVE-2026-120869 (CVSS 9.4): заобикаляне на удостоверяването в NetScaler Console. Отстранена във версия 14.1-74.34 и по-нови.
• CVE-2026-118268: повишаване на привилегиите до SYSTEM в Secure Access Client за Windows. Отстранена във версия 26.11.1.6 и по-нови.
• CVE-2026-118269: повишаване на привилегиите до root в Secure Access Client за Linux. Отстранена във версия 26.10.4 и по-нови.

Кой е засегнат

Засегнати сте от CVE-2026-120868, ако използвате NetScaler ADC или NetScaler Gateway по-стари от посочените коригирани версии:

• NetScaler ADC и NetScaler Gateway 14.1: коригирана във версия 14.1-73.57 и по-нови
• NetScaler ADC и NetScaler Gateway 13.1: коригирана във версия 13.1-64.39 и по-нови версии на 13.1
• NetScaler ADC 14.1-FIPS: коригирана във версия 14.1-73.58 FIPS и по-нови версии на 14.1-FIPS
• NetScaler ADC 13.1-FIPS и 13.1-NDcPP: коригирана във версия 13.1-37.293 и по-нови версии на 13.1-FIPS и 13.1-NDcPP

Останалите осем грешки в NetScaler ADC и Gateway се прилагат само ако е конфигурирана посочената до тях функция. CVE-2026-120868 не зависи от конфигурацията, затова всяко устройство под посочените коригирани версии се нуждае от актуализация.

Системите, които не използват NetScaler, не са засегнати: обикновени уеб сървъри, пощенски сървъри или хостинг панели. Ако използвате само NetScaler Console или Secure Access Client, вижте отделните консултации на Citrix за тези продукти.

Какво да направите сега

1. Съставете списък с всички инстанции на NetScaler ADC и NetScaler Gateway, включително HA двойки, VPX инстанции в облака и устройства, които управлявате за клиенти.
2. Архивирайте конфигурацията на всяка инстанция (ns.conf), преди да извършите актуализацията.
3. Актуализирайте до 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS или 13.1-37.293 (FIPS/NDcPP), или до по-нова версия във вашата серия. При HA двойки първо актуализирайте вторичния възел, извършете превключване при отказ и след това актуализирайте бившия основен.
4. След рестартирането проверете дали виртуалните сървъри работят и дали входът през Gateway, VPN и удостоверяването функционират.
5. Ако използвате NetScaler Console, актуализирайте го до 14.1-74.34 или по-нова версия. Актуализирайте инсталациите на Secure Access Client под Windows (26.11.1.6) и Linux (26.10.4).
6. Ако не можете да актуализирате веднага, ограничете достъпа до интерфейсите за управление до доверени мрежи и наблюдавайте устройствата за неочаквани рестартирания или сривове, докато актуализацията не бъде инсталирана.

Как да проверите дали сте засегнати

Проверете инсталираната версия в графичния интерфейс за управление или с командата show ns version в CLI. Ако версията е по-ниска от коригираната за вашата серия, устройството е уязвимо за CVE-2026-120868. За да проверите дали се прилагат и другите грешки, сравнете конфигурацията си с посочените по-горе условия, например SMPP или PUSH виртуални сървъри, DNS балансиране на натоварването, виртуални сървъри Gateway/AAA, Email OTP, Endpoint Analysis или ICA прокси. Пълните подробности се съдържат в консултацията CTX697305 на Citrix.

Източници

• https://nvd.nist.gov/vuln/detail/CVE-2026-120868
• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697305