Администраторам NetScaler снова приходится обновлять устройства спустя считаные дни после предыдущей волны исправлений. Citrix сообщила о критической CVE-2026-107406 с оценкой 9,5 по CVSS 4.0, которая затрагивает NetScaler ADC и NetScaler Gateway в определённых SAML-конфигурациях и способна привести к удалённому выполнению кода либо отказу в обслуживании.
Проблема относится к классу CWE-119 и связана с выходом операций за допустимые границы буфера памяти. Для атаки не нужны учётная запись и действия пользователя, однако в векторе CVSS указана высокая сложность эксплуатации. Уязвимость становится доступной, когда NetScaler работает как поставщик удостоверений SAML IdP или, для более старых сборок, как поставщик услуг SAML SP.
Диапазон затронутых систем зависит от роли устройства. Сборки NetScaler ADC и Gateway 14.1 от 73.37 до 73.41 и 13.1 от 64.23 до 64.28 уязвимы при работе как SAML IdP. Более ранние сборки тех же веток попадают под риск и при конфигурации SAML SP. Уязвимость также касается FIPS и NDcPP-редакций, а также гибридных развёртываний Secure Private Access с собственными экземплярами NetScaler.
Повторное обновление особенно неприятно для администраторов, которые недавно уже установили сентябрьские исправления. Часть сборок 14.1-73.37 и 13.1-64.23 закрывала предыдущие уязвимости, но от новой CVE-2026-107406 не защищает. Устройства, недавно считавшиеся исправленными, в некоторых SAML-конфигурациях снова требуют обновления.
Для ветки 14.1 исправление вошло в сборку 14.1-73.46, для 13.1 требуется 13.1-64.29. Пользователям 14.1-FIPS нужна версия 14.1-73.46 FIPS, а для 13.1-FIPS и 13.1-NDcPP безопасной считается 13.1-37.283. Облачные сервисы и Adaptive Authentication под управлением Citrix компания обновляет самостоятельно, поэтому бюллетень адресован прежде всего владельцам собственных NetScaler.
Проверить применимость проблемы можно по настройкам SAML. Наличие samlAction указывает на конфигурацию сервис-провайдера, а samlIdPProfile на роль поставщика удостоверений. Citrix рекомендует как можно быстрее перейти на исправленные сборки. На момент публикации бюллетеня компания заявила, что случаев эксплуатации CVE-2026-107406 против незащищённых систем не выявлено.
Новая ошибка появилась на фоне серии проблем NetScaler, раскрытых за последние недели. В конце сентября злоумышленники уже использовали две критические zero-day с оценкой 9,5, а в начале октября Citrix закрыла ещё одну SAML-уязвимость. CVE-2026-107406 представляет отдельную проблему и требует нового обновления даже для части устройств, которые администраторы могли считать защищёнными.
