Citrix cảnh báo lỗ hổng nghiêm trọng trong NetScaler
"Citrix disclosed CVE-2026-107406, a critical vulnerability in NetScaler ADC and NetScaler Gateway that can lead to remote code execution or denial of service, with a CVSS v4.0 score of 9.5. The issue affects certain SAML SP/IdP configurations and Secure Private Access Hybrid deployments; Citrix has issued updates and says managed cloud services and Adaptive Authentication are handled by Citrix, while customers must patch their own instances."
Nguy cơ RCE và DoS trên NetScaler ADC/Gateway; cần ưu tiên vá ngay các hệ thống có SAML SP/IdP hoặc Secure Private Access Hybrid.
Có thể ảnh hưởng tính sẵn sàng của dịch vụ truy cập từ xa và xác thực; việc chậm vá có thể làm gián đoạn người dùng nội bộ và dịch vụ hướng ra ngoài.
Citrix đã công bố CVE-2026-107406 trong NetScaler ADC và NetScaler Gateway, với mức CVSS v4.0 9.5. Lỗ hổng này có thể dẫn tới thực thi mã từ xa (RCE) hoặc từ chối dịch vụ (DoS), tùy theo phiên bản và cấu hình triển khai. Theo thông báo, các hệ thống bị ảnh hưởng chủ yếu là những môi trường dùng SAML SP/IdP; một số bản dựng mới hơn chỉ bị ảnh hưởng khi cấu hình identity provider (IdP). Các triển khai Secure Private Access Hybrid dùng NetScaler cũng cần được cập nhật.
Citrix cho biết đã phát hành bản vá và liệt kê các bản dựng cần nâng cấp trong khuyến cáo bảo mật. Hãng cũng phân biệt rằng các dịch vụ managed cloud và Adaptive Authentication do Citrix quản lý sẽ được xử lý ở phía nhà cung cấp, còn khách hàng phải tự vá các phiên bản tự triển khai của mình.
Về mặt kỹ thuật, lỗi được phân loại là CWE-119 liên quan đến kiểm soát không đúng trong vùng đệm bộ nhớ. Dù Citrix chưa xác nhận việc khai thác thực tế trước khi công bố, mức độ nghiêm trọng cho thấy các đội vận hành nên ưu tiên kiểm tra phiên bản, đối chiếu cấu hình SAML, và triển khai bản cập nhật sớm nhất có thể.