Две нови некоригирани zero-day уязвимости в устройствата Citrix NetScaler ADC и NetScaler Gateway, които позволяват отдалечено изпълнение на код (RCE), се експлоатират активно, заяви компанията за киберсигурност watchTowr на 26 септември.

Citrix все още не е потвърдила уязвимостите и не е публикувала корекция за сигурност. Някои администратори споделят, че са изключили устройствата си от мрежата, вместо да чакат официална актуализация.

NetScaler ADC и NetScaler Gateway се намират на границата на корпоративните мрежи, където управляват VPN и отдалечен достъп, балансиране на натоварването и автентификация на потребители.

Новите уязвимости не са свързани с заобикалянето на автентификацията (CVE-2026-19490), което Citrix отстрани на 19 август и което CISA добави към своя каталог с известни експлоатирани уязвимости на 9 септември.

от watchTowr описват новите пролуки като некоригирани, докато корекцията за предишното заобикаляне съществува от 19 август. Citrix не е посочила дали версиите от август (14.1-73.32 и 13.1-63.21), или по-нови версии, са засегнати от новите проблеми.

Първата публикация на watchTowr в X на 26 септември заяви, че реагират на слухове за няколко некоригирани RCE уязвимости в NetScaler. „Въпреки че подробностите са малко, информацията е надеждна“, написаха те.

Последваща публикация в 22:19 UTC даде по-пълна информация: две уязвимости, и двете за отдалечено изпълнение на код, и двете без налична корекция за сигурност, експлоатирани преди да съществува какъвто и да е фикс, открити по време на криминалистични разследвания. Очаква се Citrix да излезе със съобщение и корекции в началото на седмицата от 28 септември. Компанията пренасочи допълнителните въпроси към Citrix.

Фирмата не е публикувала доказателства, не е назовала жертви и не е казала чии криминалистични разследвания са открили експлоатацията. През август тя показа как препълване на хипа (heap overflow) в NetScaler, което Citrix беше коригирала през юни, може да се използва за отдалечено изпълнение на код.

Доклади за съвети за спиране на устройствата се появиха в Reddit същия ден. Администратор в r/Citrix написа, че екипът по сигурността на техния ИТ доставчик се е обадил, за да препоръча незабавното изключване на техните NetScaler устройства, без да дава подробности. Други потребители в дискусията заявиха, че техните организации са направили същото.

Източникът на предупреждението от доставчиците не е потвърден. Тъй като няма бюлетин за сигурност, липсват официални препоръки за заобикаляне на проблема от производителя и не са публикувани индикатори за компрометиране (IoC) за новите уязвимости. Докато не бъде издадена корекция за сигурност, решението за всеки, който използва NetScaler, е дали да го остави онлайн, да го изолира, или да го изключи, както и дали да го третира като вече компрометиран.

Тъй като експлоатацията, според описанието на watchTowr, е извършена преди да съществува корекция за сигурност, инсталирането на обновяването няма да гарантира на администраторите дали атакуващ не е проникнал първи.

През 2025 г., след като уязвимост в NetScaler беше експлоатирана като нулев ден срещу нидерландски организации, Националният център за киберсигурност на Нидерландия заяви, че самото актуализиране не премахва риска, тъй като киберпрестъпник може да запази достъпа си, придобит преди инсталирането на кръпката, и посъветва администраторите да стартират скриптове за проверка.

Настоящите указания на Citrix при съмнение за компрометиран NetScaler включват:

  • Първо запазете доказателствата: снапшот на VPX инстанцията, логовете от отдалечените syslog сървъри и NetScaler Console, пакет за техническа поддръжка и core dump на мрежовия модул (packet engine).
  • Изолирайте устройството от мрежата.
  • Променете паролите на всички сервизни акаунти и тайни, съхранявани в него, нулирайте паролите на потребителите, които са се вписвали през него, и отменете неговите сертификати и частни ключове.
  • Не излагайте интерфейса за управление в интернет. „Услугите за управление на NetScaler (NetScaler Management Services) никога не трябва да бъдат достъпни от обществения интернет“, се казва в указанията.

Проверъчните скриптове на нидерландската агенция от 2025 г., които покриват работещи устройства, core dump файлове и пълни NetScaler изображения, са допълнителна опция с известни ограничения.

Файлът README към скрипта за работещо устройство посочва, че той търси файлове, индикиращи компрометиране, не е специфичен за една конкретна уязвимост и не идва с гаранция за ефективност. Кодът за последно е актуализиран през септември 2025 г.

Не е ясно и кои версии на NetScaler ще получат корекция за сигурност. NetScaler 13.1 достигна край на поддръжката (End of Maintenance) на 15 септември според графика на Citrix, а компанията все още не е заявила дали ще издаде обновяване за тази версия.

Citrix не беше публикувала нищо за новите уязвимости до неделя сутринта. От The Hacker News са поискали коментар от Cloud Software Group (компанията майка на Citrix и NetScaler) и watchTowr.