Citrix opravuje osm chyb v NetScaleru, dvě už útočníci zneužívají

Citrix zveřejnil opravy osmi chyb v produktech NetScaler ADC a NetScaler Gateway. Podle Citrixu a americké agentury CISA už útočníci zneužívají dvě kritické zranitelnosti se skóre 9,5 z 10.

NetScaler ADC řídí doručování firemních aplikací. NetScaler Gateway slouží jako brána pro vzdálený přístup. Oba produkty proto bývají dostupné z internetu a chrání přístup k dalším částem firemní infrastruktury.

Chyba CVE-2026-88771 dovoluje nepřihlášenému útočníkovi vzdáleně spustit libovolné příkazy. CVE-2026-88772 může kvůli přetečení paměti vést ke spuštění cizího kódu nebo vyřazení zařízení. Citrix potvrdil útoky využívající obě zranitelnosti.

Třetí kritická chyba CVE-2026-88773 má skóre 9,3. Umožňuje odeslat upravený požadavek HTTP přes vstupní server tak, že obejde některé bezpečnostní kontroly. Citrix zatím aktivní zneužívání této chyby neuvedl.

Další tři chyby s hodnocením 8,8 mohou kvůli problémům s pamětí způsobit nestabilitu zařízení. Stejné skóre má chyba související s odhadem počátečních čísel TCP spojení. Poslední zranitelnost s hodnocením 7,0 dovoluje za určitých podmínek obejít nastavená pravidla pro webové adresy.

Citrix vydal aktualizace operačního systému NetScaler, které všech osm chyb opravují. Bezpečnostní bulletin společnosti také popisuje, jak zjistit, zda konkrétní zařízení opravu potřebuje a kterou aktualizaci nasadit. Přesnou délku odstávky bulletin neuvádí. CISA upozorňuje, že nasazení aktualizace může být složité a může vyžadovat přerušení provozu.

NetScaler se mezi často napadanými produkty objevuje opakovaně. Útočníci zneužívali jeho kritické chyby také v březnu 2026, v roce 2025 a v roce 2023. U zařízení, která zpřístupňují aplikace nebo vzdálený přístup, nyní odklad aktualizace zvyšuje riziko převzetí. Případnou odstávku je proto nutné poměřovat s útoky, které už probíhají.