1. Een zero-day kwetsbaarheid, met de code CVE-2026-88779, is geïdentificeerd in NetScaler SAML. Deze kwetsbaarheid is van het type geheugenoverflow (CWE-119).
2. De kwetsbaarheid treft klantbeheerde NetScaler ADC en NetScaler Gateway appliances die geconfigureerd zijn als SAML service provider of identity provider. Configuratie-instellingen die de kwetsbaarheid kunnen activeren zijn onder meer 'add authentication samlAction' (SAML service provider) en 'add authentication samlIdPProfile' (SAML identity provider).
3. Aanvallers kunnen de kwetsbaarheid via een netwerk bereiken zonder inloggegevens of interactie van gebruikers, met een lage complexiteit van de aanval.
4. De kwetsbaarheid kan leiden tot een denial-of-service (DoS) aanval, wat de toegang tot afhankelijke diensten kan verstoren. Herhaalde uitbuiting kan ervoor zorgen dat getroffen diensten langdurig niet beschikbaar zijn. Citrix heeft geen impact op de integriteit van klantgegevens vastgesteld; de bevestigde impact is denial-of-service.
5. De kwetsbaarheid heeft een CVSS v4.0 score van 8.7.
6. Er zijn noodbeveiligingsupdates uitgebracht voor deze kwetsbaarheid, die actief wordt uitgebuit door aanvallers. Gerichte aanvallen op systemen die nog niet zijn aangepakt, zijn waargenomen.
7. Kwetsbare versies van NetScaler ADC en Gateway omvatten onder meer 14.1-releases voor 14.1-73.41 en 13.1-releases voor 13.1-64.28. Ook NetScaler ADC FIPS releases voor 14.1-73.41 FIPS en 13.1 FIPS en NDcPP releases voor 13.1-37.282 zijn kwetsbaar.
8. Sommige getroffen systemen draaiden al build 14.1-73.37, wat suggereert dat recente patching alleen niet altijd voldoende is geweest om deze specifieke SAML-kwetsbaarheid te verhelpen. Er zijn meldingen van herhaaldelijk herstartende, recent gepatchte appliances.
9. Er zijn authenticatieverzoeken gerapporteerd die shellcommando's bevatten met het doel een payload te downloaden en uit te voeren. Het is niet vastgesteld of deze commando's succesvol zijn uitgevoerd. Een gedownload malware-bestand werd gerapporteerd op een gehoneypotte systeem na het aanbrengen van een patch.
10. Secure Private Access Hybrid deployments die gebruikmaken van getroffen NetScaler instances vereisen ook updates.
11. Deze updates zijn van toepassing op klantbeheerde systemen. Cloud Software Group verzorgt updates voor Citrix-beheerde cloudservices.
12. Klanten wordt geadviseerd versie 14.1-73.41 of hoger te installeren voor de 14.1-branch, of 13.1-64.28 of hoger voor de 13.1-branch. Voor FIPS-klanten geldt dat 14.1-73.41 FIPS of hoger nodig is, en voor 13.1 FIPS en NDcPP deployments is 13.1-37.282 of hoger vereist.
13. Organisaties die eerdere beveiligingsupdates hebben geïnstalleerd, moeten opnieuw upgraden indien hun systemen aan deze kwetsbaarheid voldoen. Het is belangrijk om de build-versie en SAML-instellingen van elke appliance te vergelijken met het bulletin en de juiste update toe te passen.
14. Citrix biedt Global Deny Lists aan om bekende kwaadaardige IP-adressen te blokkeren.
15. Het beveiligingsbulletin vermeldt Bishop Fox en watchTowr als hulpverleners bij de bescherming van klanten. De noodzaak tot het toepassen van de juiste updates wordt benadrukt.