Съобщава се, за две коригирани уязвимости от тип нулев ден в Citrix NetScaler, които се експлоатират в атаки, като агенции за киберсигурност, изследователи по сигурността и ИТ доставчици конфиденциално предупреждават организациите за недостатъците преди очакваните следващата седмица корекции за сигурност.

Първите признаци за инцидента се появиха, когато администратори на Citrix започнаха да съобщават в Reddit, че ИТ доставчици и екипи по сигурността се свързват конфиденциално с техните организации и ги съветват незабавно да изключат своите NetScaler устройства.

„Получихме обаждане от екипа по сигурността на нашия ИТ доставчик, те не можаха да предоставят подробности, но ни посъветваха незабавно да изключим нашите Netscaler устройства“, пише един администратор.

Други администратори заявиха, че правоприлагащите органи, CERT екипи и национални агенции за киберсигурност също са се свързвали с организации относно проблема.

Фирмата за киберсигурност watchTowr по-късно публично предупреди, че „бързо реагира на слухове“, че множество некоригирани уязвимости за отдалечено изпълнение на код (RCE) в Citrix NetScaler се експлоатират активно, след като е потвърдила информацията с „авторитетни източници“.

„В момента бързо реагираме на слухове, че в пространството циркулират съобщения за бързо експлоатирани некоригирани RCE уязвимости в Citrix NetScaler. Въпреки че подробностите са оскъдни, информацията е достоверна“, заявиха от watchTowr.

От watchTowr съобщиха, че предупреждението не е свързано с CVE-2026-19490 и CVE-2026-19489 – два недостатъка в NetScaler, разкрити от Citrix през август.

CVE-2026-19490 е критична уязвимост за заобикаляне на автентикация, засягаща NetScaler устройства, конфигурирани като AAA виртуален сървър или Gateway при определени настройки.

Както BleepingComputer съобщи по-рано този месец, изследователите започнаха да наблюдават опити за експлоатиране на CVE-2026-19490, след като публично се появи концептуална доказателствена атака (proof-of-concept).

По-късно CISA добави CVE-2026-19490 към своя каталог с познати експлоатирани уязвимости на 9 септември.

По-късно watchTowr сподели допълнителна информация, заявявайки, че текущият инцидент включва две уязвимости за отдалечено изпълнение на код, които остават без инсталирани корекции за сигурност и вече са били експлоатирани активно.

„Официалните съобщения и корекции за сигурност от Citrix се очакват в началото на следващата седмица“, казаха от watchTowr.

„Две уязвимости – и двете за отдалечено изпълнение на код (RCE). Без налични корекции, 0-day. Експлоатирани активно – открити по време на криминалистичен анализ.“

BleepingComputer се свърза с Citrix относно съобщените zero-day уязвимости, но не получи отговор.

Предупреждението на NCSC предоставя допълнителни подробности

Холандският национален център за киберсигурност (NCSC-NL) по-късно сподели допълнителни подробности в предварително известие, изпратено до организации в Нидерландия.

Множество хора споделиха копия от уведомлението онлайн, в което се казва, че агенцията е получила информация от европейски партньорски CERT относно две критични zero-day уязвимости в Citrix NetScaler.

Според уведомлението всяка уязвимост може независимо да доведе до отдалечено изпълнение на код, като едната позволява на атакуващите да инжектират шелкод директно в паметта. Техническите подробности за втората уязвимост все още се проучват.

В съобщението се казва, че все още не са предоставени CVE идентификатори и че Citrix не е публикувал официално предупреждение, но работи по корекции за сигурност, които се очаква да бъдат пуснати в началото на следващата седмица.

То също така посочва, че към момента няма налични индикатори за компрометиране (IoCs) и че NCSC е в контакт с Citrix, за да получи допълнителна техническа информация и възможни IoC.

Според уведомлението Citrix е открил уязвимостите по време на разследване на инцидент в клиентски среди.

Тези разследвания са идентифицирали активни атаки, след което Citrix е подал уведомление съгласно Законодателния акт за киберустойчивост на Европейския съюз (Cyber Resilience Act).

Уведомлението на NCSC гласи, че е установено експлоатиране при множество клиенти на Citrix по целия свят, въпреки че агенцията не знае дали уязвимостите се експлоатират в масов мащаб.

Тя също така предупреди, че опитите за експлоатиране могат да се увеличат, след като Citrix публикува корекции за сигурност и допълнителни технически подробности за уязвимостите.

Тъй като актуализирането на NetScaler устройствата може да причини спиране на работата (downtime), NCSC заяви, че целта на предварителното уведомление е да даде време на организациите да се подготвят и да внедрят защитни мерки, където е възможно, както и да инсталират бързо корекциите за сигурност, след като Citrix ги пусне.

BleepingComputer се свърза с холандския NCSC, за да потвърди дали разпространяваното онлайн предупреждение е автентично.

Агенцията отказа да потвърди уведомлението, но нейният отговор съвпада с съобщенията от администратори на Citrix, че агенциите за киберсигурност конфиденциално са споделили информация за уязвимостите.

„Като част от нашата роля на национален CSIRT и секторен CSIRT за определени организации, NCSC-NL следи 24/7 съответните развития и киберзаплахи, засягащи Нидерландия“, заявиха от NCSC-NL пред BleepingComputer.

„Ние предоставяме информация и съвети на организациите, за да могат да предприемат подходящи мерки. Тъй като не сте част от нашата общност, не можем да разкрием повече информация в момента.“

Citrix все още не е разкрил официално двете уязвимости и към момента няма публично достъпни CVE идентификатори, информация за засегнати версии, индикатори за компрометиране или официални насоки за намаляване на риска за съобщените zero-day уязвимости.

Докато Citrix не пусне корекции за сигурност или официални насоки, администраторите трябва да изключат от интернет достъпа си NetScaler устройствата си, където е възможно, или да ограничат достъпа само до доверени мрежи и IP адреси, за да намалят риска.

Като минимум не излагайте интерфейсите за управление на NetScaler в интернет и ограничете достъпа до доверени IP адреси.