Citrix NetScaler ADC a Gateway: kritické chyby v pamäti umožňujú výpadok bez pr…

Čo sa stalo

Spoločnosť Cloud Software Group, ktorej patrí značka Citrix, zverejnila 12. novembra 2026 bezpečnostné bulletiny s opravou 28 chýb v práci s pamäťou v produktoch NetScaler ADC a NetScaler Gateway. Upozornil na to európsky tím CERT-EU. NetScaler ADC rozdeľuje záťaž medzi servery a chráni webové aplikácie. NetScaler Gateway slúži ako brána pre vzdialený prístup zamestnancov, napríklad cez VPN alebo k virtuálnym desktopom Citrix.

Najširší dosah má chyba CVE-2026-120868 v základnom spracovaní sieťových paketov. Podľa výrobcu sa týka všetkých nasadení vrátane tých s predvoleným nastavením. Najvyššie skóre má CVE-2026-107412, ktorá zahŕňa niekoľko pamäťových chýb v zariadeniach nastavených ako brána alebo autentifikačný (AAA) server. Chyba CVE-2026-107410 v NetScaler Push sa podľa The Hacker News týka zariadení s virtuálnym serverom na rozdeľovanie záťaže typu PUSH. Ostatné chyby sa prejavia len pri zapnutých konkrétnych funkciách.

Citrix podľa CERT-EU nehlási žiadne zneužitie a verejný ukážkový kód útoku nebol potvrdený. Chyby nie sú v katalógu CISA KEV a európska databáza zraniteľností EUVD pri nich zneužitie neuvádza. Podľa The Hacker News výrobca chyby našiel pri hĺbkovej kontrole vlastného kódu pomocou nástrojov umelej inteligencie.

Prečo je to nebezpečné

Ide o pretečenie pamäte (memory overflow). Predstavte si pohár, do ktorého niekto naleje viac vody, než sa doň zmestí. Voda pretečie a namočí všetko okolo. V programe to znamená, že dáta prepíšu susedné miesta v pamäti, kam nepatria, a zariadenie sa potom správa nepredvídateľne alebo spadne.

Pri chybe CVE-2026-120868 útočník podľa CERT-EU nepotrebuje prihlásenie ani žiadnu špeciálnu funkciu. Stačí, že zariadenie prijíma sieťovú prevádzku, čo pri bráne vystavenej do internetu znamená, že útok môže prísť odkiaľkoľvek. Chyby v CVE-2026-107412 sú podľa výrobcu tiež dosiahnuteľné bez prihlásenia.

Výrobca opisuje dopad ako nepredvídateľné správanie a odmietnutie služby (DoS), teda výpadok. Ak spadne NetScaler Gateway, zamestnanci sa nedostanú k firemným systémom na diaľku. O prevzatí zariadenia alebo úniku dát výrobca nepíše. CERT-EU však upozorňuje, že desať chýb má v hodnotení vysoký dopad na dôvernosť, integritu aj dostupnosť, hoci ich bulletin výrobcu opisuje len ako nepredvídateľné správanie alebo výpadok.

CVSS je stupnica závažnosti od 0 do 10. CVE-2026-120868 a CVE-2026-107410 majú skóre 9,3 a CVE-2026-107412 skóre 9,5 podľa novšej verzie CVSS 4.0, čo je kritická úroveň. Vysoké skóre vyplýva najmä z toho, že útok ide cez sieť, je jednoduchý a nevyžaduje prihlásenie ani akciu používateľa.

Katalóg CISA KEV je zoznam americkej agentúry CISA s chybami, ktoré útočníci preukázateľne zneužívajú. Tieto chyby v ňom zatiaľ nie sú. Skóre EPSS, ktoré odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch, pre ne zatiaľ nie je k dispozícii.

Koho sa to týka

Zasiahnuté sú tieto verzie NetScaler ADC a NetScaler Gateway:

14.1 pred verziou 14.1-73.57
13.1 pred verziou 13.1-64.39
NetScaler ADC FIPS pred verziou 14.1-73.58 FIPS
NetScaler ADC FIPS a NDcPP pred verziou 13.1-37.293

Chyba CVE-2026-120868 sa týka každého nasadenia bez ohľadu na nastavenie. Ďalšie chyby závisia od zapnutých funkcií: brána (SSL VPN, ICA Proxy, CVPN, RDP Proxy), AAA server, prihlasovanie cez SAML, WebAuth, LDAP, jednorazové kódy e-mailom alebo klientske certifikáty, DNS cez HTTPS, HTTP/2, HTTP/3 (QUIC), SMPP, RTSP, smerovanie BGP a aplikačný firewall.

Typicky ide o firmy, ktoré cez NetScaler Gateway sprístupňujú prácu na diaľku, virtuálne desktopy Citrix alebo interné aplikácie, a o organizácie, kde NetScaler ADC rozdeľuje záťaž webových služieb. Odporúčanie CERT-EU sa výslovne týka zariadení, ktoré spravuje sám zákazník. Ak NetScaler nepoužívate, tieto chyby sa vás netýkajú.

Citrix podľa The Hacker News zároveň opravil kritickú chybu obídenia prihlásenia v NetScaler Console (CVE-2026-120869, opravené vo verzii 14.1-74.34 a novšej) a chyby v Secure Access Client pre Windows (26.11.1.6 a novšie) a Linux (26.10.4 a novšie). Ak tieto produkty používate, aktualizujte aj ich.

Ako zistiť, či ste zasiahnutí

Verziu nájdete v grafickej správe NetScaler po prihlásení na úvodnom paneli (Dashboard) alebo v časti System, záložka System Information. Z príkazového riadku cez SSH použite príkaz, ktorý verziu len vypíše:

show ns version

Výstup obsahuje vetvu (napríklad NS14.1) a číslo zostavenia (Build). Porovnajte ho so zoznamom zasiahnutých verzií. Ak je vo výstupe označenie FIPS alebo NDcPP, platia pre vás samostatné opravené verzie.

Či máte zapnutú bránu alebo AAA server, ktoré treba aktualizovať prednostne, zistíte týmito príkazmi. Iba vypisujú nastavenie a nič nemenia:

show vpn vserver
show authentication vserver

Ako to opraviť

Výrobca chyby opravil v týchto verziách:

NetScaler ADC a Gateway 14.1-73.57 a novšie
NetScaler ADC a Gateway 13.1-64.39 a novšie verzie radu 13.1
NetScaler ADC 14.1-FIPS: 14.1-73.58 FIPS a novšie
NetScaler ADC 13.1-FIPS a 13.1-NDcPP: 13.1-37.293 a novšie

Dočasné riešenie, ktoré by nahradilo aktualizáciu, výrobca podľa CERT-EU ani The Hacker News neuvádza. Jedinou ochranou je preto prechod na opravenú verziu.

Odporúčaný postup:

Spíšte všetky zariadenia NetScaler vo firme a zistite ich verzie.
Ako prvé aktualizujte brány (Gateway) a AAA servery dostupné z internetu, ako odporúča CERT-EU. Potom ostatné zariadenia.
Pred aktualizáciou uložte a zálohujte konfiguráciu a naplánujte krátku odstávku.
Firmvér sťahujte len z oficiálneho portálu Citrix.
Pri dvojici vo vysokej dostupnosti (HA) aktualizujte najprv záložný uzol, prepnite naň prevádzku a potom aktualizujte pôvodný primárny uzol.
Po reštarte overte verziu príkazom show ns version a vyskúšajte prihlasovanie a VPN.

Kým aktualizáciu nenasadíte, je rozumné ako všeobecné opatrenie obmedziť prístup k správcovskému rozhraniu len na internú sieť a sledovať neočakávané reštarty zariadenia.

Čo ak už ste mohli byť napadnutí

Citrix ani CERT-EU zatiaľ nehlásia zneužitie a výrobca nezverejnil žiadne indikátory napadnutia. Keďže výrobca opisuje dopad ako nepredvídateľné správanie a výpadok, pokus o útok by sa najskôr prejavil neočakávanými pádmi a reštartmi.

Čo skontrolovať:

Neočakávané reštarty alebo pády zariadenia v posledných týždňoch a súbory s výpisom pamäte po páde v adresári /var/core.
Systémový log /var/log/ns.log a záznamy o prihláseniach správcov.
Neznáme správcovské účty (príkaz show system user) a zmeny konfigurácie, o ktorých nikto nevie.

Ak nájdete opakované nevysvetlené pády, neznáme účty alebo zmeny nastavenia, najprv si uložte logy a až potom zariadenie aktualizujte alebo reinštalujte. Prizvite odborníka na bezpečnostné incidenty alebo podporu Citrix.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Citrix NetScaler ADC a Gateway: kritické chyby v pamäti umožňujú výpadok bez prihlásenia