Kritické CVSS 9,5 Aktuálně

Citrix opravil 28 chyb v NetScaler ADC a Gateway, kritické obejití přihlášení v NetScaler Console a eskalaci oprávnění v klientech

Cloud Software Group (Citrix) ve čtvrtek 12. listopadu 2026 vydal čtyři bezpečnostní bulletiny. Největší se týká NetScaler ADC a NetScaler Gateway: 28 chyb, z toho devět kritických (CVSS 4.0 9,3–9,5) – jedna, CVE-2026-120868, postihuje všechna nasazení ve výchozí konfiguraci. K tomu obejití přihlášení bez účtu v NetScaler Console (9,4) a eskalace oprávnění v klientu Secure Access pro Windows a Linux. O zneužití bulletiny nemluví. NetScaler na okraji sítě patří k nejčastějším cílům útočníků, proto doporučujeme aktualizovat hned.

Redakce Kyberkitu · 12. listopadu 2026 · událost ze dne 12. listopadu 2026 · čtení na 6 minut · aktualizováno 13. listopadu 2026 · Pro správce a analytiky

Kritické: Citrix NetScaler, CVE-2026-120868, CVSS 9,5

Ve zkratce

Týká se: správců vlastních instalací NetScaler ADC a NetScaler Gateway (dříve Citrix ADC/Gateway) řad 14.1 a 13.1, NetScaler Console 14.1 a uživatelských klientů Citrix Secure Access. Cloudové služby spravované Citrixem aktualizuje výrobce sám.
Nejdůležitější: CVE-2026-120868 (CVSS 9,3) – přetečení paměti při zpracování paketů, zasažena jsou všechna nasazení bez zvláštní konfigurace. CVE-2026-107412 (9,5) – několik přetečení paměti u serverů Gateway a AAA, tedy přesně té části, kterou firmy vystavují do internetu kvůli VPN a přihlašování.
NetScaler Console: CVE-2026-120869 (9,4) – útočník bez účtu, který dosáhne na IP Console, obejde přihlášení. Console spravuje celou flotilu NetScalerů, takže její kompromitace znamená přístup k jejich konfiguraci.
Citrix zneužití neuvádí a indikátory ani dočasná opatření nezveřejnil. Jediným řešením je aktualizace. Řadu chyb našel interní tým s pomocí analýzy kódu za pomoci AI, další nahlásili externí výzkumníci včetně dvou z watchTowr.

Zranitelnosti: CVE-2026-120868, CVE-2026-107412, CVE-2026-120869, CVE-2026-118268, CVE-2026-118269

Co se stalo

Cloud Software Group, výrobce produktů Citrix, ve čtvrtek 12. listopadu 2026 zveřejnil čtyři bezpečnostní bulletiny:

Bulletin	Produkt	Chyby	Nejvyšší CVSS 4.0
CTX697305	NetScaler ADC a NetScaler Gateway	28 CVE (9 kritických)	9,5
CTX697320	NetScaler Console	CVE-2026-120869 – obejití přihlášení	9,4
CTX697280	Citrix Secure Access Client pro Windows	CVE-2026-118268 – eskalace na SYSTEM	8,5
CTX697281	Citrix Secure Access Client pro Linux	CVE-2026-118269 – eskalace na root	8,5

Bulletiny o zneužití nemluví a nenabízejí dočasné opatření – Citrix „důrazně vyzývá“ zákazníky k co nejrychlejší aktualizaci. Bulletin pro NetScaler platí jen pro instalace spravované zákazníkem; cloudové služby spravované Citrixem aktualizuje výrobce sám. Část chyb našel interní tým Cloud Software Group pomocí analýzy kódu s podporou AI, další nahlásili externí výzkumníci, mezi nimi dva z firmy watchTowr.

Technické podrobnosti

Údaje jsou z bulletinů Citrixu. NVD od 12.–13. 11. 2026 přebírá záznamy od Citrixu (stav Received / Awaiting Analysis, vlastní analýzu NIST zatím nemají); technický rozbor k 13. 11. nevyšel. Návod ke zneužití nezveřejňujeme.

Kritické chyby v NetScaler ADC a Gateway (CVSS 4.0 ≥ 9):

CVE	Kde je chyba	CVSS	Kdy je zařízení zranitelné
CVE-2026-120868	přetečení paměti při zpracování paketů (CWE-119)	9,3	vždy – všechna nasazení, výchozí konfigurace
CVE-2026-107412	několik přetečení paměti (CWE-119)	9,5	server Gateway (VPN) nebo AAA
CVE-2026-111344	přetečení paměti v Endpoint Analysis (EPA)	9,3	VPN/AAA se zapnutou kontrolou EPA
CVE-2026-120864	přetečení paměti v proxy ICA	9,3	Gateway, AAA nebo CR server typu HDX
CVE-2026-107415	přetečení haldy v ověřování Email OTP	9,3	nastavená `emailAction`
CVE-2026-107408	poškození paměti v DNS/DoH (CWE-787)	9,3	DNS s rekurzivním překladem
CVE-2026-107409	dvojí uvolnění paměti v DoH (CWE-415)	9,3	vyvažování DNS přes HTTPS
CVE-2026-107407	přetečení paměti v provozu SMPP	9,3	LB nebo CS server typu SMPP
CVE-2026-107410	přetečení haldy v serveru PUSH (CWE-122)	9,3	LB server typu PUSH

Zbylých 19 chyb má skóre 6,9–8,7 a týká se konkrétních funkcí: ověřování SAML, WebAuth, LDAP, KBA a klientskými certifikáty, HTTP/2, HTTP/3 (QUIC), RTSP, SIP, Diameter, MQTT, RADIUS, GSLB, BGP bez TCP-MD5, TLS 1.3 s ECH, dekódování Base64 v politikách, Web App Firewall a rozhraní pro správu (NSIP) – CVE-2026-120863 (8,7) zasáhne každé zařízení, jehož NSIP je dosažitelná z nedůvěryhodné sítě. CVE-2026-111348 (6,9) ukládá citlivé údaje o přihlášení do /var/log/httperror.log.

Popis většiny chyb je stručný: přetečení paměti „může vést k nepředvídatelnému nebo chybnému chování nebo odepření služby“. Vektor u CVE-2026-120868 je ale AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H – útok po síti, bez přihlášení a bez účasti uživatele, s vysokým dopadem na důvěrnost i integritu. Únik dat z paměti zařízení tedy výrobce nevylučuje.

NetScaler Console (CVE-2026-120869, CVSS 9,4, CWE-287): útočník bez přihlášení, který dosáhne na IP adresu Console, obejde kontrolu přihlášení a získá přístup k chráněným částem. Vektor AV:A předpokládá útočníka v sousední síti, ale dopad zasahuje i navazující systémy (SC:H/SI:H/SA:H) – Console spravuje konfiguraci a certifikáty všech připojených NetScalerů.

Klienti Secure Access (CVE-2026-118268 a CVE-2026-118269, CVSS 8,5, CWE-269): běžný uživatel na počítači s klientem VPN si zvýší oprávnění na SYSTEM (Windows) nebo root (Linux). Útočník už musí mít na počítači lokální přístup – chyba tedy slouží k dalšímu kroku po napadení stanice.

Možná cesta útočníka na neopravený NetScaler Gateway (podle bulletinu CTX697305)

Koho se to týká

Produkt	Zranitelné	Opravené
NetScaler ADC a Gateway 14.1	před 14.1-73.57	14.1-73.57 a novější
NetScaler ADC a Gateway 13.1	před 13.1-64.39	13.1-64.39 a novější
NetScaler ADC 14.1-FIPS	před 14.1-73.58	14.1-73.58 a novější
NetScaler ADC 13.1-FIPS a 13.1-NDcPP	před 13.1-37.293	13.1-37.293 a novější
NetScaler Console 14.1	před 14.1-74.34	14.1-74.34 a novější
Citrix Secure Access Client pro Windows	před 26.11.1.6	26.11.1.6 a novější
Citrix Secure Access Client pro Linux	před 26.10.4	26.10.4 a novější

Zasažená jsou i nasazení Secure Private Access Hybrid, která používají instance NetScaler.
Řady 12.1 a 13.0 bulletin neuvádí – nejsou podporované a opravy pro ně nevycházejí.
Které funkce máte zapnuté, zjistíte v ns.conf – bulletin u každé chyby uvádí řádky konfigurace, podle kterých se pozná zranitelné nastavení (např. add vpn vserver, add authentication vserver, add authentication emailAction, -http2 ENABLED, B64DECODE).

Jak poznat napadení

Citrix indikátory napadení nezveřejnil a zneužití neuvádí. Co doporučujeme sledovat (vlastní doporučení, ne pokyn Citrixu):

Nečekané restarty a pády paketového jádra (výpisy paměti po pádu, záznamy o restartu v /var/log/ns.log) – u přetečení paměti bývají prvním příznakem pokusů.
Nové nebo neznámé soubory ve webových adresářích zařízení a nové úlohy cron – porovnejte je se stavem po čisté instalaci stejné verze.
Neobvyklé relace VPN a AAA – přihlášení z neznámých zemí, souběžné relace jednoho uživatele z různých IP.
Přístupy na NSIP a NetScaler Console z adres mimo správcovskou síť.

Až Citrix nebo CERT indikátory zveřejní, vytáhnete si je z textu v extraktoru IOC. Vektory CVSS 4.0 si rozeberete v CVSS kalkulačce.

Co udělat

NetScaler Gateway a AAA vystavené do internetu: aktualizujte jako první na 14.1-73.57 nebo 13.1-64.39 (FIPS 14.1-73.58, FIPS/NDcPP 13.1-37.293).
Ostatní NetScaler ADC: aktualizujte také – CVE-2026-120868 platí pro všechna nasazení bez ohledu na funkce.
NetScaler Console: aktualizujte na 14.1-74.34 a do té doby omezte přístup k jeho IP jen na správcovskou síť.
Rozhraní pro správu (NSIP): nikdy ho nevystavujte do internetu ani do uživatelské sítě; kvůli CVE-2026-120863 to platí dvojnásob.
Klienti Secure Access: rozešlete verzi 26.11.1.6 (Windows) a 26.10.4 (Linux) přes správu stanic nebo nechte zařízení Gateway nabízet novou verzi klienta.
Po aktualizaci zkontrolujte, že běží nová verze (show ns version), a projděte body z části Jak poznat napadení. Při podezření na průnik samotná aktualizace nestačí – zařízení je potřeba prověřit a obnovit.

Časová osa

Zveřejnění oprav (bulletiny Citrixu, CISA KEV)

Aktualizace

13. 11. 2026 – NVD převzalo od Citrixu první záznamy (mj. CVE-2026-120868 a sedm dalších kritických chyb ADC/Gateway); NIST je zatím neanalyzoval. U CVE-2026-120869 (Console) se záznam v NVD liší od bulletinu: NVD uvádí 9,3 s vektorem AV:N (útok po síti) a nižším dopadem na navazující systémy, bulletin CTX697320 9,4 s AV:A (sousední síť). Údaje v článku jsou podle bulletinu; prakticky z toho plyne totéž – Console aktualizujte a jeho IP omezte na správcovskou síť. Chyby dál nejsou v CISA KEV, Citrix zneužití nehlásí a technický rozbor (např. watchTowr) zatím nevyšel.
12. 11. 2026 – první verze článku.

Časté otázky

Zneužívají se tyto chyby?

Bulletiny z 12. 11. 2026 o zneužití nemluví a v katalogu CISA KEV (verze 2026.11.10) žádná z chyb není. NetScaler je ale jedním z nejčastěji napadaných zařízení na okraji sítě: chyby Citrixu se do KEV dostaly naposledy na konci září a začátkem října 2026. Mezi opravou a prvními útoky bývá u NetScaleru jen pár dní, proto aktualizujte co nejdřív.

Popis říká jen „nepředvídatelné chování nebo odepření služby“. Proč je skóre tak vysoké?

Citrix u většiny chyb píše, že přetečení paměti „může vést k nepředvídatelnému nebo chybnému chování nebo odepření služby“. Vektor CVSS 4.0 ale u CVE-2026-120868 hodnotí dopad na důvěrnost, integritu i dostupnost jako vysoký (VC:H/VI:H/VA:H) a útok jako vedený po síti bez přihlášení. Výrobce tedy nevylučuje únik dat ani změnu chování zařízení. Podobně skromně byly zpočátku popsané i chyby, které se v minulosti zneužívaly ke krádeži relací.

Používáme NetScaler jen jako vyvažovač zátěže, ne jako Gateway. Musíme aktualizovat?

Ano. CVE-2026-120868 se týká všech nasazení ve výchozí konfiguraci, bez ohledu na to, jaké funkce používáte. Ostatní chyby závisí na konfiguraci (Gateway, AAA, DNS, SMPP, PUSH, HTTP/2, BGP…) – podle tabulky si určíte, co je u vás vystavené, ale opravou se zbavíte všech najednou.

Máme NetScaler 12.1 nebo 13.0. Co teď?

Bulletin uvádí jako zranitelné a opravené jen řady 14.1 a 13.1 (a jejich FIPS/NDcPP varianty). Řady 12.1 a 13.0 už Citrix nepodporuje a opravy pro ně nevydává. Zařízení na nepodporované řadě je potřeba převést na 14.1 nebo 13.1, jinak zůstane bez oprav.

Zdroje

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.