14.1-73.41 беше версията, към която те пратихме на 4 октомври. Ако NetScaler ти е настроен като SAML IdP, днес тя е в списъка на засегнатите.
Факт
Фактите: на 8 октомври 2026 г. Citrix публикува бюлетин за сигурност CTX697191 с тежест „Критична“ за CVE-2026-107406 в NetScaler ADC и NetScaler Gateway. Уязвимостта е препълване на паметта (CWE-119), което води до изпълнение на код от разстояние или отказ на услугата; CVSS v4.0 9.5. Условие: NetScaler да е настроен като SAML SP или SAML IdP. Само при IdP са засегнати версиите 14.1-73.37 до 14.1-73.41 включително и 13.1-64.23 до 13.1-64.28 включително, плюс съответните FIPS и NDcPP версии; при SP или IdP са засегнати всички версии преди 14.1-73.37 и преди 13.1-64.23. Засегнати са и внедряванията на Secure Private Access Hybrid с NetScaler. Поправките са 14.1-73.46 и по-нови, 13.1-64.29 и по-нови от 13.1, 14.1-73.46 FIPS и 13.1-37.283 за FIPS и NDcPP. Бюлетинът важи само за инсталации, управлявани от клиента; облачните услуги на Citrix обновява самата компания. Citrix благодари за съвместната работа на Joshua Foote, Michael Tucker и Eugene Lim от XOR Team на JPMorgan Chase. Бюлетинът не казва дали уязвимостта се експлоатира. В националната база на САЩ NVD записът вече е публикуван, но собствена оценка от NVD още няма.
Два въпроса решават всичко. Има ли SAML на твоя NetScaler. И ако има, в каква роля: като SP той приема вход, удостоверен другаде, като IdP сам удостоверява хората за други приложения.
Бюлетинът дава проверка в конфигурацията. Ред add authentication samlAction значи SP. Ред add authentication samlIdPProfile значи IdP. Нямаш нито един от двата и условието на Citrix не е изпълнено.
Два реда в конфигурацията решават дали дупката е твоя.
Оттам идва неприятната част. Ако си на 14.1-73.37 до 73.41 или на 13.1-64.23 до 64.28, дупката е твоя само при IdP. Ако си по-стар, тя е твоя и при SP. Версиите, към които пращаха предишните два бюлетина, не стигат за този, който държи IdP.
Какво още не знам. Бюлетинът не споменава експлоатация. Това не значи, че я няма. Допълнителното ръководство на Citrix в общността ѝ не успях да отворя, сървърът върна забрана за достъп, и затова не го цитирам.
Целта вече е 14.1-73.46 или 13.1-64.29, а за FIPS 14.1-73.46 FIPS или 13.1-37.283. Първо двата реда в конфигурацията, после версията.
Визуалът към статията е генериран код-арт, без чужди изображения.