Citrix закърпи атакуван zero-day в SAML на NetScaler

Citrix пусна извънредни кръпки за CVE-2026-88779 — уязвимост в обработката на SAML в NetScaler ADC и NetScaler Gateway, която нападатели вече използват срещу незащитени устройства. Бюлетинът CTX697174 излезе на 3 октомври, обновените версии станаха достъпни на 4 октомври, а същия ден CISA вкара дупката в каталога си с експлоатирани уязвимости.

Оценката по CVSS v4.0 е 8.7, а класификацията е CWE-119 — операции извън границите на буфер в паметта. Официално последицата е отказ от обслужване: самата Citrix пише, че е „наблюдавала целенасочени атаки срещу необезопасени NetScaler инсталации, които могат да доведат до Denial of Service“.

Засегнати са само устройствата със SAML

Уязвими са апаратите, конфигурирани като SAML Service Provider или SAML Identity Provider. Citrix дава конкретен начин да проверите дали ви касае — търсите в конфигурацията два реда:

add authentication samlAction
add authentication samlIdPProfile

Ако нито един от двата не присъства, устройството не попада в обхвата. Ако присъства поне един, обновяването е спешно.

Поправените версии са:

• NetScaler ADC и Gateway 14.1-73.41 и по-нови
• NetScaler ADC и Gateway 13.1-64.28 и по-нови (клон 13.1)
• 14.1-73.41 FIPS и по-нови
• 13.1-37.282 и по-нови за FIPS/NDcPP

Обслужваните от Cloud Software Group услуги вече са закърпени; работата остава за клиентите със собствено управлявани апарати.

Какво правят нападателите

Дупката излезе наяве през honeypot мрежи, а не през отговорно разкриване. Изследователят Кевин Бомонт забелязал, че вече обновени устройства започват да се държат странно: „На един от honeypot-ите се изпълнява изтеглен (зловреден) бинарен файл. И двата бяха закърпени, значи е нова уязвимост“, пише той според BleepingComputer.

Записаните опити съдържат shell команди, вмъкнати в полето за потребителско име при автентикация, които се опитват да изтеглят и стартират payload от адрес 213.209.159[.]55. Администратори докладват повтарящи се сривове на процеса nsaaad — този, който обслужва автентикацията — и достигане на лимитите за рестарт на Pitboss, след което устройството се рестартира само.

Точно този модел на поведение е причината мнозина да смятат, че потенциалът не свършва до DoS. watchTowr Labs потвърдиха, че са възпроизвели уязвимостта независимо, без да разкриват технически детайли. Дали се стига до пълно изпълнение на код, остава отворен въпрос — но при крайни устройства, които стоят на ръба на мрежата и държат автентикацията, разликата между „срив“ и „превзето устройство“ често е въпрос на няколко дни работа.

Срокът на CISA е 7 октомври

CISA добави CVE-2026-88779 в каталога Known Exploited Vulnerabilities на 4 октомври и даде на федералните граждански агенции в САЩ срок до 7 октомври да приложат мерките. За всички останали срокът е същият на практика — KEV записите обикновено са сигнал, че масовото сканиране вече е започнало.

Лошата новина за администраторите е, че това е второ обновяване за месец. През септември същите продукти бяха ударени от CVE-2026-88771 и CVE-2026-88772, а поправките за тях (заедно с още шест CVE-та от същата серия) бяха пуснати едва преди седмица — на 27 септември. Устройства, закърпени тогава, пак трябва да минат през нов ъпгрейд.

По-широкият фон: все по-кратък прозорец

Скоростта, с която дупките стигат от разкриване до атака, се свива видимо. The Register описва показателен случай от същата седмица: критичен байпас на автентикацията в Rejetto HTTP File Server (CVE-2026-61500), открит от модела Mythos на Anthropic и обявен от изследователя Зак Хенли от Horizon3, беше атакуван още на следващата вечер — първо от адрес в Китай срещу цели в САЩ и Япония.

Моделът е намерил 286 CVE-та по линия на Project Glasswing и до този инцидент само едно от тях е било използвано в реална атака. Посоката обаче е ясна: когато уязвимостите се откриват по-бързо и се описват по-подробно, времето за реакция на защитниците става по-кратко. Същата динамика видяхме и при критичната дупка 9.9 в GitLab AI Gateway.

Заключение

Ако поддържате NetScaler ADC или Gateway, проверката отнема минута: има ли samlAction или samlIdPProfile в конфигурацията. Ако да — обновете до 14.1-73.41 или 13.1-64.28 веднага, после прегледайте логовете за сривове на nsaaad и неочаквани рестарти. Citrix не е публикувала временни смекчаващи мерки за тази конкретна уязвимост, така че кръпката е единственият реален отговор.