Екипите по сигурност получиха спешни обаждания да изключат сървърите, преди властите да потвърдят критичните уязвимости от тип нулев ден.
Агенцията за киберсигурност и инфраструктурна сигурност (CISA) предупреди в неделя, че критични zero-day уязвимости в Citrix NetScaler ADC и Citrix NetScaler Gateway са обект на активна експлоатация и трябва да бъдат отстранени незабавно.
От Citrix заявиха, че експлоатацията е свързана с уязвимост за дистанционно изпълнение на код (RCE) поради неправилна проверка на входните данни, проследявана като CVE-2026-88771, и уязвимост от препълване на паметта, проследявана като CVE-2026-88772.
В събота екипи по сигурност съобщиха, че са получили спешни обаждания от фирми за ИТ сигурност и други длъжностни лица, предупреждаващи ги незабавно да изключат сървърите си, тъй като уязвимостите от тип нулев ден са били експлоатирани преди да има официални указания от Citrix или правителствените органи.
Бенджамин Харис, президент на компанията за управление на експозицията watchTowr, потвърди, че поне една некоригирана уязвимост за дистанционно изпълнение на код е била експлоатирана към събота. Изследователите казаха, че екипът на Националния център за киберсигурност в Нидерландия е издал предупреждения точно преди изпращането на глобалните сигнали за изключване в събота.
„Спешността произтече от разкритието, че две неизвестни досега уязвимости се експлоатират активно“, каза Йордан Ганчев, главен специалист по разузнаване за заплахи в watchTowr, пред Cybersecurity Dive. „По онова време не беше ясно дали са верижно свързани, но техническите детайли сега показват, че те са независими една от друга.“
Обширен достъп
NetScaler се използва широко от предприятия за автентификация и балансиране на натоварването, когато отдалечени потребители осъществяват достъп до компютърни мрежи. Платформата се смята за апетитна цел за киберпрестъпници, като критични дефекти бяха експлоатирани съвсем наскоро през март.
„Тези уязвимости в NetScaler са точно от вида, който не дава сън на ръководителите по сигурността в държавния сектор, защото се насочват към системите, на които агенциите разчитат за свързване на потребители, предоставяне на услуги и осигуряване на защитен достъп“, заяви Адам Маре, CISO в Arctic Wolf, пред Cybersecurity Dive.
CISA съобщи в неделя, че е запозната с докладите и координира отговор „със съответните партньори“. По-късно агенцията добави CVE-2026-88771 и CVE-2026-88772 към своя каталог с известни експлоатирани уязвимости (Known Exploited Vulnerabilities).
Shadowserver Foundation съобщава, че над 20 000 инсталации са изложени на риск и потенциално застрашени. Изследователите казаха, че има пробиви, но тези потвърдени случаи не са широкоразпространени.
В неделя Citrix публикува бюлетин за сигурност относно осем уязвимости, включително двете zero-day уязвимости. Компанията предупреди, че уязвимостите варират в зависимост от конфигурацията на внедряване и функциите, които са активирани в средата на потребителя. Успешната експлоатация може да доведе до различни въздействия, включително RCE, отказ на услуга (DoS), инжектиране на HTTP заявки (HTTP request smuggling) и други, според компанията.
От Citrix уточниха, че бюлетинът се отнася само за NetScaler ADC и NetScaler Gateway, управлявани от клиентите. Облачните услуги, управлявани от Citrix, които включват Gateway Service и Adaptive Authentication, се обновяват директно от компанията.
Компанията призова екипите по сигурност да прегледат указанията, за да определят дали са налице определени предварителни условия за внедряването на NetScaler, преди да инсталират обновленията. Например предварителните условия за CVE-2026-88772 са налице само когато сигурността на транспортния слой с датаграми (DTLS) е активирана на NetScaler ADC или NetScaler Gateway.
DTLS е протокол за сигурност, гарантиращ безопасността на данните при транспортирането им в мрежи чрез датаграми, според публикация в блога на Huntress Labs. Това означава, че данните остават поверителни в реално време.
Преди това Citrix публикува указания какво да се прави, ако Citrix NetScaler е потенциално компрометиран. Трябва да се направи моментална снимка (snapshot) на компрометираното устройство, ако то е виртуална инстанция, да се отменят идентификационните данни и устройството да бъде изолирано.