Citrix NetScaler ADC και Gateway: κρίσιμα σφάλματα μνήμης επιτρέπουν άρνηση εξυπηρέτησης (CVE-2026-120868)

Τι συνέβη

Στις 13 Νοεμβρίου 2026 η Citrix δημοσίευσε ενημερώσεις ασφαλείας για τα NetScaler ADC και NetScaler Gateway (συμβουλευτικό CTX697305). Το πιο ευρέως σχετικό σφάλμα είναι το CVE-2026-120868 (CVSS 9.3). Πρόκειται για υπερχείλιση μνήμης στην επεξεργασία πακέτων, που μπορεί να οδηγήσει σε μη προβλέψιμη ή λανθασμένη συμπεριφορά ή σε άρνηση εξυπηρέτησης (DoS). Σύμφωνα με τη συμβουλευτική, επηρεάζει όλες τις εγκαταστάσεις NetScaler ADC και NetScaler Gateway, ανεξάρτητα από τη ρύθμισή τους.

Η ίδια κυκλοφορία διορθώνει οκτώ ακόμη κρίσιμα σφάλματα μνήμης. Καθένα από αυτά έχει σημασία μόνο αν έχει ρυθμιστεί η αντίστοιχη λειτουργία:

• CVE-2026-107407 (CVSS 9.3): υπερχείλιση μνήμης στην κίνηση SMPP. Επηρεάζει εικονικούς διακομιστές Load Balancing ή Content Switching τύπου SMPP.
• CVE-2026-107408 (CVSS 9.3): καταστροφή μνήμης στο DNS / DNS-over-HTTPS. Επηρεάζει συσκευές ρυθμισμένες για εξισορρόπηση φορτίου DNS και αναδρομική επίλυση DNS.
• CVE-2026-107409 (CVSS 9.3): καταστροφή μνήμης στο DNS-over-HTTPS. Επηρεάζει εξισορρόπηση φορτίου DNS μέσω HTTPS.
• CVE-2026-107410 (CVSS 9.3): υπερχείλιση μνήμης στο NetScaler Push. Επηρεάζει εικονικούς διακομιστές Load Balancing τύπου PUSH.
• CVE-2026-107412 (CVSS 9.5): πολλαπλές υπερχειλίσεις μνήμης. Επηρεάζει συσκευές ρυθμισμένες ως εικονικός διακομιστής Gateway ή AAA.
• CVE-2026-107415 (CVSS 9.3): υπερχείλιση μνήμης στον έλεγχο ταυτότητας Email OTP. Επηρεάζει ρυθμίσεις με Email Action.
• CVE-2026-111344 (CVSS 9.3): υπερχείλιση μνήμης στο Endpoint Analysis (EPA/EPAS). Επηρεάζει εικονικούς διακομιστές VPN ή AAA που χρησιμοποιούν Endpoint Analysis.
• CVE-2026-120864 (CVSS 9.3): υπερχείλιση μνήμης στο ICA proxy. Επηρεάζει εικονικούς διακομιστές Gateway VPN, AAA ή CR (τύπου HDX).

Όλα αυτά μπορούν να οδηγήσουν σε μη προβλέψιμη συμπεριφορά ή άρνηση εξυπηρέτησης. Κατά τη δημοσίευση, η Citrix ανέφερε ότι δεν γνώριζε για εκμεταλλεύσεις αυτών των ευπαθειών. Η CISA δεν τις αναφέρει ως εκμεταλλευμένες.

Την ίδια μέρα η Citrix διόρθωσε επίσης τρία σφάλματα σε άλλα προϊόντα, το καθένα στη δική του συμβουλευτική:

• CVE-2026-120869 (CVSS 9.4): παράκαμψη ελέγχου ταυτότητας στην NetScaler Console. Διορθώθηκε στην έκδοση 14.1-74.34 και νεότερες.
• CVE-2026-118268: κλιμάκωση προνομίων σε SYSTEM στο Secure Access Client για Windows. Διορθώθηκε στην έκδοση 26.11.1.6 και νεότερες.
• CVE-2026-118269: κλιμάκωση προνομίων σε root στο Secure Access Client για Linux. Διορθώθηκε στην έκδοση 26.10.4 και νεότερες.

Ποιοι επηρεάζονται

Επηρεάζεσαι από το CVE-2026-120868 αν χρησιμοποιείς NetScaler ADC ή NetScaler Gateway παλαιότερο από αυτές τις διορθωμένες εκδόσεις:

• NetScaler ADC και NetScaler Gateway 14.1: διορθώθηκε στην 14.1-73.57 και νεότερες
• NetScaler ADC και NetScaler Gateway 13.1: διορθώθηκε στην 13.1-64.39 και νεότερες εκδόσεις της 13.1
• NetScaler ADC 14.1-FIPS: διορθώθηκε στην 14.1-73.58 FIPS και νεότερες εκδόσεις της 14.1-FIPS
• NetScaler ADC 13.1-FIPS και 13.1-NDcPP: διορθώθηκε στην 13.1-37.293 και νεότερες εκδόσεις των 13.1-FIPS και 13.1-NDcPP

Τα υπόλοιπα οκτώ σφάλματα των NetScaler ADC και Gateway ισχύουν μόνο αν είναι ρυθμισμένη η λειτουργία που αναφέρεται δίπλα τους. Το CVE-2026-120868 δεν εξαρτάται από τη ρύθμιση, οπότε κάθε συσκευή κάτω από τις διορθωμένες εκδόσεις χρειάζεται την ενημέρωση.

Οι συστήματα που δεν τρέχουν NetScaler δεν επηρεάζονται: τυπικοί web servers, mail servers ή πάνελ hosting. Αν χρησιμοποιείς μόνο NetScaler Console ή Secure Access Client, δες τις ξεχωριστές συμβουλευτικές της Citrix για αυτά τα προϊόντα.

Τι να κάνεις τώρα

1. Κατέγραψε όλες τις εγκαταστάσεις NetScaler ADC και NetScaler Gateway, συμπεριλαμβανομένων των ζευγών HA, των VPX στο cloud και των συσκευών που διαχειρίζεσαι για πελάτες.
2. Κάνε backup της ρύθμισης κάθε εγκατάστασης (ns.conf) πριν την αναβάθμιση.
3. Αναβάθμισε σε 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS ή 13.1-37.293 (FIPS/NDcPP), ή σε νεότερη έκδοση του κλάδου σου. Σε ζεύγη HA, αναβάθμισε πρώτα τον δευτερεύοντα κόμβο, κάνε failover και μετά αναβάθμισε τον πρώην κύριο.
4. Μετά την επανεκκίνηση, έλεγξε ότι οι εικονικοί διακομιστές είναι ενεργοί και ότι λειτουργούν οι συνδέσεις Gateway, VPN και ελέγχου ταυτότητας.
5. Αν χρησιμοποιείς NetScaler Console, ενημέρωσέ την στην 14.1-74.34 ή νεότερη. Ενημέρωσε τις εγκαταστάσεις Secure Access Client σε Windows (26.11.1.6) και Linux (26.10.4).
6. Αν δεν μπορείς να αναβαθμίσεις αμέσως, περιόρισε την πρόσβαση στις διεπαφές διαχείρισης σε έμπιστα δίκτυα και παρακολούθησε τις συσκευές για απροσδόκητες επανεκκινήσεις ή κρασαρίσματα μέχρι να εγκατασταθεί η ενημέρωση.

Πώς να ελέγξεις αν επηρεάζεσαι

Ελέγξαξε την εγκατεστημένη έκδοση στο γραφικό περιβάλλον διαχείρισης ή με την εντολή show ns version στο CLI. Αν η έκδοση είναι χαμηλότερη από τη διορθωμένη για τον κλάδο σου, η συσκευή είναι ευάλωτη στο CVE-2026-120868. Για να δεις αν ισχύουν και τα άλλα σφάλματα, σύγκρινε τη ρύθμισή σου με τις συνθήκες παραπάνω, για παράδειγμα εικονικούς διακομιστές SMPP ή PUSH, εξισορρόπηση φορτίου DNS, εικονικούς διακομιστές Gateway/AAA, Email OTP, Endpoint Analysis ή ICA proxy. Η συμβουλευτική CTX697305 της Citrix περιέχει όλες τις λεπτομέρειες.

Πηγές

• https://nvd.nist.gov/vuln/detail/CVE-2026-120868
• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697305