Клиентите трябва да проверят системите си за компрометиране преди отстраняване на уязвимостта, тъй като актуализацията за сигурност може да не разреши напълно проблема при вече инфектирана система.
Активност по експлоатация, свързана с zero-day уязвимости в Citrix NetScaler, е била първоначално засечена в четвъртък, дни преди публичното им разкриване, според доклад от понеделник на GreyNoise.
Злонамерен субект е се опитал да експлоатира uязвимост от тип нулев ден срещу Citrix NetScaler в четвъртък, според изследователи от GreyNoise. По това време не е имало налични сигнатури за откриване, специфични за този CVE, но изследователите са определили активността като зловредна.
Два дни по-късно клиентите на Citrix NetScaler са започнали да получават предупреждения да изключат сървърите си поради съмнителна активност по експлоатация. До неделя Citrix публикува официален бюлетин за сигурност, предупреждаващ за множество уязвимости в NetScaler ADC и NetScaler Gateway.
Дейността по експлоатация е включвала уязвимост за отдалечено изпълнение на код (RCE), проследявана като CVE-2026-88771, и уязвимост от препълване на паметта, проследявана като CVE-2026-88772.
Citrix призова клиентите незабавно да инсталират корекции за сигурност на своите системи, като предупреди, че успешната експлоатация може да доведе до RCE, отказ на обслужване (DoS), контрабанда на HTTP заявки (HTTP request smuggling) и други последици.
„Винаги съветваме клиентите своевременно да внедряват най-новата версия на нашия софтуер и тук подчертаваме тези насоки, за да гарантираме, че нашите потребители веднага ще се възползват от актуализациите в тази последна версия“, заяви говорител на Citrix пред Cybersecurity Dive.
Агенцията за киберсигурност и инфраструктурна сигурност (CISA) издаде собствено предупреждение относно заплахата и добави CVE-2026-88771 и CVE-2026-88772 към своя каталог с познати експлоатирани уязвимости (Known Exploited Vulnerabilities) в неделя.
Широко разпространено въздействие
Изследователи от Shadowserver Foundation заявиха в понеделник, че са запознати с успешни опити за експлоатация и над 20 000 инстанции са били видими и потенциално уязвими. Изследователи от GreyNoise и Mandiant идентифицираха конкретна активност след експлоатация през последните дни.
„Атакуващият е внедрил web shell-ове на компрометирани системи NetScaler и се е придвижил хоризонтално (laterally) към вътрешните мрежи на някои от целевите организации“, заяви Чарлз Кармакал, технически директор и съветник към борда на Mandiant Consulting (подразделението за реагиране на инциденти на Google Threat Intelligence Group), в публикация в LinkedIn в понеделник.
Кармакал предупреди, че клиентите трябва да извършат проверка, за да определят дали са били компрометирани, преди да преминат към новата коригирана версия. Инсталирането на корекции за сигурност без предприемане на другите стъпки може да не отстрани инфекцията.
Той отбеляза, че Citrix е пуснала скенер за проверка за индикатори за компрометиране (IoC) и инструмент за мониторинг на целостта на файловете, за да се установи дали NetScaler е бил компрометиран.