CVE-2026-88771

Суть уязвимости

CVE-2026-88771 представляет собой критическую уязвимость типа «Недостаточная проверка входных данных» (Improper Input Validation) в компонентах Citrix NetScaler ADC и NetScaler Gateway.

Неавторизованный удаленный злоумышленник может отправить специально сформированный сетевой запрос к управляющему интерфейсу или виртуальному серверу шлюза. Из-за отсутствия корректной фильтрации метасимволов в обрабатываемых параметрах, атакующий получает возможность выполнить произвольные системные команды на уровне операционной системы (RCE) с правами веб-сервера или выше. Это ведет к полному компрометированию устройства, краже учетных данных сессий и возможности дальнейшего продвижения внутри корпоративной сети.

Как исправить

Основным способом устранения является обновление прошивки NetScaler до версий, в которых данная уязвимость закрыта.

1. Скачайте соответствующий билд с официального портала Citrix (Cloud Software Group).
2. Загрузите файл прошивки на устройство в директорию /var/nsinstall/.
3. Распакуйте архив и запустите скрипт установки.

tar -xvzf build_package.tgz
./installns

1. После завершения установки перезагрузите устройство.

reboot

1. Проверьте текущую версию после загрузки.

show ns version

Временные меры

Если немедленное обновление невозможно, необходимо минимизировать поверхность атаки и ограничить доступ к критическим интерфейсам.

1. Ограничьте доступ к интерфейсу управления (NSIP) с помощью списков контроля доступа (ACL), разрешив подключения только с доверенных административных хостов.

add ns acl rule1 ALLOW -srcIP 10.0.0.0-10.0.0.255 -destPort 443
add ns acl rule2 DENY -destPort 443
apply ns acls

1. Если используется Responder Module, настройте политику для блокировки подозрительных запросов, содержащих попытки внедрения команд (например, символы ;, |, &, $()) в HTTP-заголовках или URL.

add responder policy pol_block_rce "HTTP.REQ.FULL_HEADER.CONTAINS(\";\") || HTTP.REQ.URL.QUERY.CONTAINS(\"|\")" DROP
bind responder global pol_block_rce 100 END -type REQ_OVERRIDE

1. Отключите неиспользуемые функции и сервисы на внешних интерфейсах.

2. Настройте отправку системных логов на удаленный Syslog-сервер для мониторинга аномальной активности в shell-процессах.

add audit syslogAction syslog_server 192.168.1.100 -logLevel ALL
add audit syslogPolicy syslog_pol true syslog_server
bind system global syslog_pol 100