Националният център за киберсигурност на Обединеното кралство (NCSC) призова организациите да предприемат незабавни действия срещу осем уязвимости, засягащи управлявани от клиентите устройства Citrix NetScaler ADC и NetScaler Gateway.

Два критични дефекта, CVE-2026-88771 и CVE-2026-88772, вече се експлоатират срещу системи без защитни мерки, превръщайки рутинното инсталиране на корекции за сигурност в спешна задача по реакция на инциденти.

Citrix NetScaler 0-Day уязвимости

Бюлетинът CTX697096 на Citrix оценява и двете експлоатирани уязвимости с 9.5 по CVSS 4.0. CVE-2026-88771 е уязвимост за неправилна проверка на входните данни, която позволява на неудостоверен отдалечен атакуващ да изпълнява произволни команди.

Тя засяга всяка уязвима инсталация на NetScaler, включително конфигурациите по подразбиране, без да се изисква незадължителна функция. CVE-2026-88772 е проблем с препълване на паметта, който може да причини отдалечено изпълнение на код или отказ от услуга, когато DTLS е активиран; DTLS е активиран по подразбиране на VPN виртуални сървъри.

Обновяването отстранява и още шест допълнителни слабости. CVE-2026-88773, оценена с 9.3, позволява контрабанда на HTTP заявки (HTTP request smuggling), където са активирани HTTP конфигурации. CVE-2026-88774 може да заобиколи политики на функции, използващи изрази, базирани на HTTP URL.

CVE-2026-88775, CVE-2026-88776 и CVE-2026-88777 са уязвимости от тип препълване на паметта, засягащи съответно Gateway или AAA виртуални сървъри, Oracle виртуални сървъри за балансиране на натоварването и LB/CS или CGNAT-LSN/NAT64 системи, използващи не-HTTP Layer 7 функции.

CVE-2026-88778 позволява предсказване на първоначалния последователен номер на TCP (TCP initial sequence number), когато функцията Enhanced ISN Generation е деактивирана.

Засегнатите локални (on-premises) версии са NetScaler ADC и Gateway 14.1 преди 14.1-73.37 и 13.1 преди 13.1-64.23, NetScaler ADC 14.1-FIPS преди 14.1-73.37 FIPS, и 13.1-FIPS или 13.1-NDcPP преди 13.1-37.279.

Внедряванията на Secure Private Access Hybrid, използващи екземпляри на NetScaler, също са изложени на риск. Управляваните от Citrix облачни услуги и Adaptive Authentication се обновяват от Cloud Software Group.

Според препоръките, публикувани от NCSC, агенцията препоръчва прочитане на бюлетина на Citrix и придружаващата го публикация в блога, идентифициране на изложените устройства и временно изолиране на засегнатите системи, където е възможно.

Защитниците могат да блокират достъпа с защитни стени от по-високо ниво, да деактивират уязвимите компоненти или да ограничат връзките до одобрени корпоративни IP диапазони.

След това те трябва да запазят доказателствата, да разследват с публикуваните от Citrix индикатори за компрометиране (IOC), да инсталират съответната коригирана версия, да потвърдят всеки възел и едва след това да възстановят услугата. Засегнатите организации в Обединеното кралство трябва да съобщават за потвърдени пробиви чрез правителствената служба за докладване на киберинциденти.

Тъй като устройствата NetScaler обикновено се намират на границата на мрежата и управляват доверен VPN, приложение и автентикационен трафик, успешното експлоатиране може да даде на атакуващите ценна начална точка за кражба на идентификационни данни, поддържане на присъствие и латерално придвижване във вътрешните среди.

След безопасното повторно въвеждане на коригираните системи, организациите трябва да продължат да следят бюлетина на Citrix, да повтарят търсенето на заплахи с развитието на данните от разузнаването и да потвърждават, че нивата на обновяване остават съгласувани в двойките с висока наличност (high-availability pairs).

Самото инсталиране на корекции за сигурност не може да гарантира, че дадено устройство никога не е било компрометирано. Екипите по сигурност трябва да проверяват удостоверяването и мрежовата активност, неочаквани файлове, процеси, промени в конфигурацията и изходящи връзки, като същевременно препращат дневниците (logs) към външна SIEM система.

Работният процес Security Advisory в NetScaler Console осигурява общи проверки за IOC, когато телеметрията е активирана, а мониторингът на целостта на файловете (File Integrity Monitoring) може да сигнализира за неоторизирани промени; Citrix предупреждава, че автоматизираните проверки може да не идентифицират всяка техника на атакуващите.

Администраторите трябва да третират CVE-2026-88778 отделно, като активират Enhanced ISN Generation според указанията, тъй като промяната в TCP конфигурацията се изисква в допълнение към софтуерните актуализации.

За системи 13.1 е разумно да се изпълни show ns variable преди актуализирането: насоките на Citrix, цитирани от Cyber Security News, предупреждават, че системите с конфигурирани променливи може да изискват 13.1-64.24, за да се избегне цикъл на повторно зареждане (reboot loop).

Cyber Security News по-рано предупреди читателите, когато изследователи за първи път съобщиха за две неразкрити RCE zero-day уязвимости в NetScaler, след което отрази потвърждението на Citrix, присвояването на CVE номера и спешните корекции.

CISA добави две критични уязвимости в Citrix NetScaler към своя каталог с известни експлоатирани уязвимости (Known Exploited Vulnerabilities), след като бяха предоставени доказателства, че те активно се използват при атаки.

Неговото скорошно отразяване на Citrix включва също експлоатираната CVE-2026-8452 и кампанията CitrixBleed 2 от 2025 г., подсилвайки познатия урок: свързаните с интернет периферни устройства изискват бързо откриване на активите, съдебна триажа (forensic triage), инсталиране на корекции за сигурност и непрекъснато търсене на заплахи.

Намалете всяко разследване на сигнал в SOC с 21 минути. Осигурете на вашия SOC незабавен IOC контекст за бърза реакция: Интегрирайте TI Lookup във вашия SOC