Citrix NetScaler ADC a Gateway: kritické chyby v paměti umožňují výpadek bez př…

Co se stalo

Společnost Cloud Software Group, které patří značka Citrix, zveřejnila 12. listopadu 2026 bezpečnostní bulletiny s opravou 28 chyb v práci s pamětí v produktech NetScaler ADC a NetScaler Gateway. Upozornil na to evropský tým CERT-EU. NetScaler ADC rozkládá zátěž mezi servery a chrání webové aplikace. NetScaler Gateway slouží jako brána pro vzdálený přístup zaměstnanců, například přes VPN nebo k virtuálním desktopům Citrix.

Nejširší dopad má chyba CVE-2026-120868 v základním zpracování síťových paketů. Podle výrobce se týká všech nasazení včetně těch s výchozím nastavením. Nejvyšší skóre má CVE-2026-107412, která zahrnuje několik paměťových chyb v zařízeních nastavených jako brána nebo autentizační (AAA) server. Chyba CVE-2026-107410 v NetScaler Push se podle The Hacker News týká zařízení s virtuálním serverem pro rozkládání zátěže typu PUSH. Ostatní chyby se projeví jen při zapnutých konkrétních funkcích.

Citrix podle CERT-EU nehlásí žádné zneužití a veřejný ukázkový kód útoku nebyl potvrzen. Chyby nejsou v katalogu CISA KEV a evropská databáze zranitelností EUVD u nich zneužití neuvádí. Podle The Hacker News výrobce chyby našel při důkladné kontrole vlastního kódu s pomocí nástrojů umělé inteligence.

Proč je to nebezpečné

Jde o přetečení paměti (memory overflow). Představte si sklenici, do které někdo nalije víc vody, než se do ní vejde. Voda přeteče a namočí všechno kolem. V programu to znamená, že data přepíšou sousední místa v paměti, kam nepatří, a zařízení se pak chová nepředvídatelně nebo spadne.

U chyby CVE-2026-120868 útočník podle CERT-EU nepotřebuje přihlášení ani žádnou zvláštní funkci. Stačí, že zařízení přijímá síťový provoz, což u brány vystavené do internetu znamená, že útok může přijít odkudkoli. Chyby v CVE-2026-107412 jsou podle výrobce také dosažitelné bez přihlášení.

Výrobce popisuje dopad jako nepředvídatelné chování a odepření služby (DoS), tedy výpadek. Pokud spadne NetScaler Gateway, zaměstnanci se nedostanou k firemním systémům na dálku. O převzetí zařízení nebo úniku dat výrobce nepíše. CERT-EU ale upozorňuje, že deset chyb má v hodnocení vysoký dopad na důvěrnost, integritu i dostupnost, přestože je bulletin výrobce popisuje jen jako nepředvídatelné chování nebo výpadek.

CVSS je stupnice závažnosti od 0 do 10. CVE-2026-120868 a CVE-2026-107410 mají skóre 9,3 a CVE-2026-107412 skóre 9,5 podle novější verze CVSS 4.0, což je kritická úroveň. Vysoké skóre plyne hlavně z toho, že útok jde přes síť, je jednoduchý a nevyžaduje přihlášení ani akci uživatele.

Katalog CISA KEV je seznam americké agentury CISA s chybami, které útočníci prokazatelně zneužívají. Tyto chyby v něm zatím nejsou. Skóre EPSS, které odhaduje pravděpodobnost zneužití v nejbližších 30 dnech, pro ně zatím není k dispozici.

Koho se to týká

Zasaženy jsou tyto verze NetScaler ADC a NetScaler Gateway:

14.1 před verzí 14.1-73.57
13.1 před verzí 13.1-64.39
NetScaler ADC FIPS před verzí 14.1-73.58 FIPS
NetScaler ADC FIPS a NDcPP před verzí 13.1-37.293

Chyba CVE-2026-120868 se týká každého nasazení bez ohledu na nastavení. Další chyby závisí na zapnutých funkcích: brána (SSL VPN, ICA Proxy, CVPN, RDP Proxy), AAA server, přihlašování přes SAML, WebAuth, LDAP, jednorázové kódy e-mailem nebo klientské certifikáty, DNS přes HTTPS, HTTP/2, HTTP/3 (QUIC), SMPP, RTSP, směrování BGP a aplikační firewall.

Typicky jde o firmy, které přes NetScaler Gateway zpřístupňují práci na dálku, virtuální desktopy Citrix nebo interní aplikace, a o organizace, kde NetScaler ADC rozkládá zátěž webových služeb. Doporučení CERT-EU se výslovně týká zařízení, která spravuje sám zákazník. Pokud NetScaler nepoužíváte, tyto chyby se vás netýkají.

Citrix podle The Hacker News zároveň opravil kritickou chybu obejití přihlášení v NetScaler Console (CVE-2026-120869, opraveno ve verzi 14.1-74.34 a novější) a chyby v Secure Access Client pro Windows (26.11.1.6 a novější) a Linux (26.10.4 a novější). Pokud tyto produkty používáte, aktualizujte i je.

Jak zjistit, zda jste zasaženi

Verzi najdete v grafické správě NetScaler po přihlášení na úvodním panelu (Dashboard) nebo v části System, záložka System Information. Z příkazového řádku přes SSH použijte příkaz, který verzi jen vypíše:

show ns version

Výstup obsahuje větev (například NS14.1) a číslo sestavení (Build). Porovnejte ho se seznamem zasažených verzí. Pokud je ve výstupu označení FIPS nebo NDcPP, platí pro vás samostatné opravené verze.

Zda máte zapnutou bránu nebo AAA server, které je třeba aktualizovat přednostně, zjistíte těmito příkazy. Pouze vypisují nastavení a nic nemění:

show vpn vserver
show authentication vserver

Jak to opravit

Výrobce chyby opravil v těchto verzích:

NetScaler ADC a Gateway 14.1-73.57 a novější
NetScaler ADC a Gateway 13.1-64.39 a novější verze řady 13.1
NetScaler ADC 14.1-FIPS: 14.1-73.58 FIPS a novější
NetScaler ADC 13.1-FIPS a 13.1-NDcPP: 13.1-37.293 a novější

Dočasné řešení, které by nahradilo aktualizaci, výrobce podle CERT-EU ani The Hacker News neuvádí. Jedinou ochranou je proto přechod na opravenou verzi.

Doporučený postup:

Sepište všechna zařízení NetScaler ve firmě a zjistěte jejich verze.
Jako první aktualizujte brány (Gateway) a AAA servery dostupné z internetu, jak doporučuje CERT-EU. Potom ostatní zařízení.
Před aktualizací uložte a zazálohujte konfiguraci a naplánujte krátkou odstávku.
Firmware stahujte jen z oficiálního portálu Citrix.
U dvojice ve vysoké dostupnosti (HA) aktualizujte nejprve záložní uzel, přepněte na něj provoz a potom aktualizujte původní primární uzel.
Po restartu ověřte verzi příkazem show ns version a vyzkoušejte přihlašování a VPN.

Dokud aktualizaci nenasadíte, je rozumné jako obecné opatření omezit přístup ke správcovskému rozhraní jen na interní síť a sledovat neočekávané restarty zařízení.

Co když už jste mohli být napadeni

Citrix ani CERT-EU zatím nehlásí zneužití a výrobce nezveřejnil žádné indikátory napadení. Protože výrobce popisuje dopad jako nepředvídatelné chování a výpadek, pokus o útok by se nejspíš projevil neočekávanými pády a restarty.

Co zkontrolovat:

Neočekávané restarty nebo pády zařízení v posledních týdnech a soubory s výpisem paměti po pádu v adresáři /var/core.
Systémový log /var/log/ns.log a záznamy o přihlášeních správců.
Neznámé správcovské účty (příkaz show system user) a změny konfigurace, o kterých nikdo neví.

Pokud najdete opakované nevysvětlené pády, neznámé účty nebo změny nastavení, nejprve si uložte logy a teprve potom zařízení aktualizujte nebo přeinstalujte. Přizvěte odborníka na bezpečnostní incidenty nebo podporu Citrix.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Citrix NetScaler ADC a Gateway: kritické chyby v paměti umožňují výpadek bez přihlášení