Субекти, за които се предполага, че са свързани с държавни структури, са атакували критични уязвимости в широко използваната платформа, предизвиквайки широкомащабни смущения в цяла Европа и Северна Америка.
Правителствените органи и екипите по сигурност се надпреварват да оценят последиците от кампания, насочена срещу критични дефекти в Citrix NetScaler. Държавни агенции и доставчици на критична инфраструктура са били обект на вълна от атаки, датиращи от повече от месец, при това, което може да се окаже целенасочен шпионаж.
Екипите по сигурност бяха алармирани за първи път през уикенда в серия от директни предупреждения от правителствени агенции за киберсигурност, доставчици на ИТ сигурност и други организации, които ги призоваха незабавно да изключат своите системи.
През следващите дни, според изследователи, въздействието е било усетено в десетки организации от множество сектори.
Критични дефекти
В неделя Citrix разкри общо осем уязвимости в NetScaler ADC и NetScaler Gateway. За две от тези уязвимости, проследявани като CVE-2026-88771 и CVE-2026-88772, бе потвърдено, че се експлоатират активно. И двете уязвимости имат оценка за сериозност 9.5 от 10.
CVE-2026-88771 е уязвимост за отдалечено изпълнение на код (RCE), свързана с неправилна проверка на въведените данни, според Citrix. Успешното експлоатиране позволява на атакуващ да изпълнява произволни команди в системата, без да е необходима автентификация. Дефектът засяга всички версии на NetScaler ADC и NetScaler Gateway, дори когато са с настройки по подразбиране.
CVE-2026-88772 е уязвимост, свързана с препълване на паметта, която може да доведе до отдалечено изпълнение на код или отказ на услуга (DoS), според Citrix. Успешното експлоатиране обаче изисква комуникационен протокол, наречен Datagram Transport Layer Security (DTLS), да бъде активиран в NetScaler ADC или NetScaler Gateway. Върху VPN виртуалните сървъри DTLS е активиран по подразбиране.
От Citrix предупредиха, че уязвимостите могат да доведат до различни последици, включително отдалечено изпълнение на код, отказ на услуга, HTTP request smuggling, заобикаляне на политики и прогнозиране на началния сериен номер на TCP (TCP initial sequence number prediction).
Агенцията за киберсигурност и инфраструктурна сигурност (CISA) издаде собствено предупреждение в неделя и добави двете критични уязвимости в своя каталог с известни експлоатирани уязвимости (Known Exploited Vulnerabilities).
Националният център за киберсигурност в Нидерландия предупреди доставчиците на критична инфраструктура и други организации да предприемат незабавни мерки за ограничаване на риска в петък, включително изключване на системи, които не са защитени, според говорител на центъра.
Z-cert, националната агенция за сектора на здравеопазването, посъветва болниците или да увеличат мониторинга, или временно да изключат уязвимите системи като предпазна мярка.
Някои нидерландски болници, включително Frisius MC и Amphia, спряха онлайн достъпа до порталите за пациенти, след като спряха системите, базирани на Citrix NetScaler.
Широкомащабни последици
Google Threat Intelligence Group (GTIG) и Mandiant Consulting, специализирана в реагиране на инциденти, са идентифицирали десетки организации в Северна Америка и Европа, които са засегнати от злонамерената активност, според публикация в LinkedIn от Чарлз Кармакал, технически директор на Mandiant Consulting. Засегнатите включват множество сектори като държавно управление, образование, финансови услуги, телекомуникации, юридически и професионални услуги.
Експлоатацията все още не е свързана с известна хакерска група, но GTIG и Mandiant смятат, че киберпрестъпниците имат връзки с държавни органи, и заявиха, че тяхната активност показва задълбочени познания и висока степен на сложност.
Изследователи от Arctic Wolf заявиха, че атаките са засегнали най-малко 78 организации в САЩ, Канада и Европа. Засегнатите организации обхващат различни отрасли, включително енергетика, здравеопазване, финанси, местно управление, медии, образование и професионални услуги.
Повече от 20 000 инстанции на Citrix NetScaler са публично достъпни и потенциално уязвими, според данни от Shadowserver Foundation.
Удължен времеви график
Злонамерената активност датира най-малко от 3 септември, според изследователи от GTIG. След експлоатирането на CVE-2026-88772, киберпрестъпниците са модифицирали конфигурациите на Apache, за да позволят произволни файлови конфигурации, включително .deb, .sig и .ico, да бъдат обработвани като PHP файлове, казва Кармакал.
Изследователите откриха модифицирани PHP уеб шелове (webshells), включително един, наречен Whipshot, който позволява зловредният код за командване и контрол (C2), кодиран с Base64, да бъде скрит в стандартни HTTP заглавки. В допълнение, нов Python тунелер, наречен Slapshot, може да се използва за разузнаване и кражба на идентификационни данни.
Изследователи от Palo Alto Networks заявиха пред Cybersecurity Dive, че са проследили атаките назад във времето до 21 август и все още разследват редица случаи.
Пускане на корекции за сигурност
Citrix призова клиентите незабавно да инсталират актуализации за сигурност на своите системи. Обновяванията включват следните версии:
- NetScaler ADC и NetScaler Gateway 14.1-73.37 и по-нови версии
- NetScaler ADC и NetScaler Gateway 13.1-64.23 и по-нови версии
- NetScaler ADC 14.1-FIPS и 14.1-73.37 FIPS и по-нови версии на 14.1-FIPS
- NetScaler ADC 13.1-FIPS и 13.1-NDcPP 13.1.37.279 и по-нови версии на 13.1 FIPS и 13.1 NDcPP
Въздействие върху бизнеса
Citrix NetScaler се използва широко в корпоративния сектор, за да осигури постоянна достъпност на приложенията. Компаниите използват тези инструменти, за да гарантират, че служителите, работещи от разстояние, могат да достъпват компютърните мрежи по сигурен начин, както и за балансиране на товара с цел правилно маршрутизиране на трафика.
„В ИТ и OT средите в здравеопазването NetScaler често се намира на границата на мрежата, осигурявайки защитен отдалечен достъп и предоставяне на приложения“, заявява Ерол Вайс, главен директор по сигурността в Health Information Sharing and Analysis Center. „NetScaler позволява на медицинския и административния персонал да имат защитен достъп до от решаващо значение клинични приложения, като електронни здравни досиета (EHR), от отдалечени места.“
Health-ISAC изпрати спешно предупреждение в неделя до своите членуващи организации. Вайс отбеляза, че редица директори по информационна сигурност (CISO) в сектора на здравеопазването са заявили, че планират да прекъснат връзките си, докато не бъдат налични постоянни решения.
Изследователите предупредиха, че инсталирането на корекции за сигурност няма непременно да премахне инфекциите, особено ако хакерите са получили достъп до системите преди прилагането на актуализациите.
„Самото обновяване няма да премахне достъпа, получен след експлоатацията, нито ще реши проблема с откраднатите идентификационни данни“, написа Кармакал в публикация в LinkedIn във вторник.
Мерки за ограничаване на риска
GTIG препоръчва при съмнение за компрометиране екипите по сигурност да изолират NetScaler от по-голямата мрежа. Изследователите предупреждават, че тази процедура може да доведе до значителни смущения в бизнес процесите.
Ако незабавното инсталиране на корекции за сигурност не е опция, могат да се предприемат стъпки за намаляване на потенциалните рискове за сигурността; DTLS може временно да бъде деактивиран на сървърите NetScaler Gateway, обърнати към интернет. Входящият достъп по UDP/443, който се използва за ускоряване на уеб трафика, може да бъде блокиран към засегнатите сървъри.
Екипите по сигурност трябва също да подменят идентификационните данни и да прекратят активните сесии. Инфраструктурата на Citrix надолу по веригата, включително сървърите Citrix StoreFront и Citrix Delivery Controllers, трябва да бъде одитирана. Прегледайте Windows Event Logs за необичайни влизания или неочаквана употреба на Remote Desktop Protocol.