Citrix uppmanar administratörer att åtgärda ny NetScaler-RCE-sårbarhet

Citrix uppmanar IT-administratörer att uppdatera berörda NetScaler-system efter att ha offentliggjort en kritisk sårbarhet som kan möjliggöra fjärrkörning av kod eller orsaka ett överbelastningstillstånd.

Sårbarheten, CVE-2026-107406, beror på ett minnesöverflödesfel. NetScaler ADC- och NetScaler Gateway-enheter är sårbara om de är konfigurerade som en Security Assertion Markup Language-identitetsleverantör (SAML Identity Provider, IdP) eller tjänsteleverantör (Service Provider, SP).

Citrix uppgav att företaget inte kände till några oupphörda exploateringar när bulletinen publicerades. Företaget uppmanade berörda kunder att läsa säkerhetsmeddelandet och uppgradera berörda instanser till rekommenderade versioner så snart som möjligt.

Shadowserver spårar fler än 21 000 IP-adresser med NetScaler-fingeravtryck som är exponerade på internet. De omfattar drygt 1 500 Gateway-instanser och nästan 20 000 NetScaler ADC-enheter. Källtexten anger inte hur många som är honeypots, har uppdaterats eller har sårbara konfigurationer.

Citrix har varnat för andra NetScaler-sårbarheter som har utnyttjats i år. I mars uppmanade företaget kunder att åtgärda CVE-2026-3055 och CVE-2026-4368, dagar innan angripare började utnyttja dem. I september släppte företaget uppdateringar för de aktivt utnyttjade RCE-noll-dagarna CVE-2026-88771 och CVE-2026-88772. Tidigare den här månaden kom akuta uppdateringar för noll-dagssårbarheten CVE-2026-88779, som kan orsaka överbelastning. Forskare och administratörer uppgav senare att den även kunde utnyttjas för fjärrkörning av kod.

CISA har flaggat 27 aktivt utnyttjade Citrix-sårbarheter sedan november 2021, varav sju har utnyttjats i utpressningsattacker med ransomware.