Критические ошибки NetScaler: какие сборки проверить владельцу сервиса

12 ноября 2026 года опубликованы исправления ошибок безопасности NetScaler ADC и NetScaler Gateway. Если эти компоненты обслуживают трафик вашего сайта или обеспечивают удалённый доступ к системам компании, поручите администратору срочно проверить редакцию и полную сборку и согласовать обновление. Одна из критических уязвимостей затрагивает даже стандартную конфигурацию.

NetScaler ADC может участвовать в распределении веб-трафика, а Gateway — в доступе сотрудников и администраторов к приложениям. Сначала уточните, используются ли они именно в вашем контуре и кто отвечает за обслуживание. Само наличие VPS, виртуального хостинга или 1С-Битрикс не означает зависимости от NetScaler.

В бюллетене CERT-EU 2026-020 перечислены 28 ошибок памяти. CVE-2026-120868 получила оценку CVSS 9.3: для неё не нужны специальные функции или аутентификация. CVE-2026-107412 с оценкой 9.5 относится к конфигурациям Gateway — SSL VPN, ICA Proxy, CVPN, RDP Proxy — либо к виртуальным серверам AAA. У других ошибок есть собственные условия.

Документированное описание последствий — непредсказуемое поведение и отказ в обслуживании. Эти сведения не дают основания объявлять доказанными удалённый запуск кода или кражу данных. CERT-EU сообщает, что эксплуатация и общедоступное подтверждение работоспособности атаки не заявлены. Это оценка на момент сообщения, а не гарантия отсутствия атак.

Сопоставляйте полное обозначение продукта, ветки и редакции. В таблице приведены пороги из технического бюллетеня CERT-EU. Более новая сборка должна относиться к той же соответствующей ветке: обычный пакет нельзя автоматически считать заменой FIPS или NDcPP.

Отсутствие старой ветки в таблице не подтверждает её безопасность. Если поставщик обслуживает собственную сборку, запросите его документацию об исправлениях. Проверять нужно работающие экземпляры устройства, включая узлы кластера, а не только наличие загруженного обновления.

• Установить, какие сайты и способы доступа зависят от NetScaler, и назначить ответственного за обновление. CERT-EU рекомендует приоритет для доступных из интернета Gateway и AAA.
• До изменений сохранить конфигурацию и подготовить план восстановления; согласовать окно обслуживания и проверки после работ.
• Проверить правильный порядок обновления и условия лицензирования, если используется NetScaler Console.
• После работ подтвердить активные сборки всех нужных узлов и проверить доступ к сайту, вход в приложения и используемые удалённые подключения.

Citrix предупреждает: существующие ICA-сеансы после обновления завершатся, их придётся установить заново. Учитывайте это при согласовании времени работ. Производитель рекомендует обновлять ADC/Gateway перед Console; для самой Console действует отдельный бюллетень, и таблица выше к ней не относится.

Для некоторых старых установок Console с pooled/flexed-лицензированием переход может блокироваться условиями LAS. Ответственному нужно заранее сверить сценарий с официальным FAQ и партнёром, включая необходимость согласованного исключения. Эта новость не заменяет инструкцию миграции конкретной установки.

По сообщению Citrix, охваченные выпуском облачные сервисы под её управлением уже обновлены. Это не подтверждает обновление устройств, которыми управляет заказчик или его подрядчик, и не является заявлением о защищённости инфраструктуры General iT.

Попросите подтверждение: какие устройства и редакции проверены, какие исправленные сборки реально работают и какие функции проверены после обслуживания. При признаках вмешательства необходимо отдельное расследование с сохранением свидетельств; установка патча сама по себе не доказывает устранения прежней компрометации.

Сведения проверены 13 ноября 2026 года, 06:02 МСК. Инфоповод и бюллетень CERT-EU датированы 12 ноября; точное время выпуска исправлений здесь не установлено. Географических ограничений для затронутых установок в рассмотренных сообщениях не указано.

On November 12, 2026, security fixes for NetScaler ADC and NetScaler Gateway were published. If these components handle your website traffic or provide remote access to company systems, instruct your administrator to urgently verify the edition and full build number and coordinate an update. One critical vulnerability affects even standard configurations.

NetScaler ADC may participate in distributing web traffic, while Gateway manages access for employees and administrators to applications. First, confirm whether they are used in your specific environment and who is responsible for maintenance. The mere presence of a VPS, virtual hosting, or 1C-Bitrix does not imply a dependency on NetScaler.

The CERT-EU bulletin 2026-020 lists 28 memory errors. CVE-2026-120868 received a CVSS score of 9.3: it requires no special features or authentication. CVE-2026-107412, rated 9.5, applies to Gateway configurations—SSL VPN, ICA Proxy, CVPN, RDP Proxy—or to AAA virtual servers. Other errors have their own specific conditions.

Documented descriptions of consequences include unpredictable behavior and service denial. These details do not provide grounds to declare remote code execution or data theft as proven. CERT-EU reports that exploitation and public proof-of-concept for the attack have not been disclosed. This is an assessment at the time of the report, not a guarantee that attacks are absent.

Compare the full product designation, branch, and edition. The table lists thresholds from the CERT-EU technical bulletin. A newer build must belong to the same corresponding branch: a standard package cannot be automatically considered a replacement for FIPS or NDcPP.

The absence of an older branch in the table does not confirm its security. If the vendor maintains a custom build, request their patch documentation. Verify running device instances, including cluster nodes, not just the presence of a downloaded update.

• Identify which websites and access methods depend on NetScaler and assign a responsible person for the update. CERT-EU recommends prioritizing Gateway and AAA components accessible from the internet.
• Preserve the configuration before making changes and prepare a recovery plan; agree on a maintenance window and post-update verification.
• Verify the correct update sequence and licensing conditions if NetScaler Console is in use.
• After the update, confirm the active builds of all required nodes and verify website access, application login, and used remote connections.

Citrix warns: existing ICA sessions will end after the update and must be re-established. Consider this when scheduling the maintenance window. The vendor recommends updating ADC/Gateway before Console; a separate bulletin applies to Console itself, and the table above does not apply to it.

For some older Console installations using pooled or flexed licensing, the transition may be blocked by LAS conditions. The responsible person must verify the scenario in advance with the official FAQ and a partner, including the need for an agreed exemption. This news does not replace the migration instructions for a specific installation.

According to Citrix, cloud services under its management covered by the release have already been updated. This does not confirm updates to devices managed by the customer or their contractor, nor is it a statement regarding the security of the General iT infrastructure.

Request confirmation: which devices and editions were checked, which patched builds are actually working, and which functions were verified after maintenance. If signs of tampering are detected, a separate investigation with evidence preservation is required; installing a patch alone does not prove the previous compromise has been resolved.

Information verified on November 13, 2026, at 06:02 MSK. The news item and CERT-EU bulletin are dated November 12; the exact release time of the fixes is not specified here. No geographical restrictions for affected installations were mentioned in the reviewed reports.