Потребителите на Citrix NetScaler съобщават за многократни рестартирания на устройствата след инсталиране на версия 14.1-73.37 — извънредното обновление, издадено за две zero-day уязвимости, подложени на активни атаки.

Сривовете изглежда са свързани със специално форматиран SAML трафик за автентикация, който причинява срив в услугата nsaaad. От Citrix заявяват, че техните инженерни екипи и екипи по поддръжка проследяват новооткрит проблем със SAML и планират да публикуват нов бюлетин за сигурност и коригирана версия.

Основният момент е, че съобщенията за рестартиране все още не доказват, че атакуващите са заобиколили септемврийската корекция за сигурност. Версия 14.1-73.37 остава коригираното издание 14.1 на Citrix за CVE-2026-88771 и CVE-2026-88772.

Първата уязвимост позволява на неавтентикиран атакуващ да изпълнява команди върху всяка засегната система, докато втората може да позволи изпълнение на код или отказ от обслужване при активиран DTLS. От Citrix потвърдиха експлоатация срещу системи, които не са били обновени.

Защо коригираните системи се рестартират

Администратори в Reddit описаха външни NetScaler устройства с версия 14.1-73.37, които неочаквано са навлезли в цикли на принудително рестартиране. Един от докладите засяга няколко клиента и е довел до случаи с най-висок приоритет (severity-one) към Citrix.

Друг администратор посочва, че след сканиране за уязвимости са последвали неколкократни сривове на nsaaad; след твърде много неуспехи, защитният механизъм pitboss е рестартирал устройството. Според съобщения поддръжката на Citrix подготвя корекция, но тези твърдения във форумите все още не са потвърдени в официален бюлетин от вендора.

Моделът на поведение е от значение, тъй като nsaaad обработва задачите по автентикация. Специално форматирана заявка може да срине този процес, без да дава на изпращача контрол върху устройството. Многократните сривове все пак могат да създадат сериозен инцидент с отказ от обслужване, особено при достъпен през интернет портал, използван за отдалечена работа. Двойките за висока наличност (high-availability pairs) също могат да претърпят прекъсвания, ако и двата възела получат същия трафик или се рестартират последователно.

Временните указания на Citrix за SAML съветват клиентите да проверят дали съответната конфигурация е налична, да прегледат опциите за смекчаване на риска и да се подготвят да инсталират следващата коригираща версия. Към момента на писане на статията в съобщението не се съдържа нов CVE, пълни подробности за първопричината или краен номер на новата версия. Това означава, че екипите не трябва да разглеждат всяко рестартиране като потвърден пробив или да предполагат, че 14.1-73.37 е отворила отново по-ранните уязвимости.

За какво трябва да следят защитниците

Екипите по сигурност първо трябва да запазят core файловете, системните логове, записите за автентикация и пакета за поддръжка, преди поредно рестартиране да премахне полезни доказателства. Те трябва да сравнят времето на рестартиране с входящите SAML заявки, записите от защитната стена и логовете от доставчика на идентичност. Проверките трябва да включват съобщения за срив на nsaaad, файлове в /var/core, скорошни промени в конфигурацията, неизвестни администраторски сесии и необичаен изходящ трафик. Всяко правило за временно блокиране трябва да се третира като кратковременна мярка, тъй като изходните адреси могат да се променят.

Организациите трябва също така да потвърдят инсталираната версия на всеки активен и архивен възел (standby node). Бюлетинът CTX697096 на Citrix посочва 14.1-73.37, 13.1-64.23 и съответните FIPS или NDcPP издания като корекциите за zero-day уязвимостите. Инсталирането на корекции за сигурност спира новото използване на тези уязвимости, но не премахва уеб шелове (web shells) или достъп, придобит преди обновлението.

Това предупреждение е важно, тъй като по-ранно отражение на Cybersecurity News опитва наблюдеван root достъп, скрити уеб шелове и вътрешно тунелиране, свързани със септемврийската кампания.

Читателите могат също да прегледат оригиналния доклад на сайта относно zero-day уязвимостта за засегнатите версии и подробности за излагането на риск. Докато Citrix не пусне следващото си обновление, засегнатите клиенти трябва да държат отворени случаите с критичен приоритет към поддръжката, да използват само предоставени от вендора стъпки за ограничаване на риска и да третират необяснимите рестартирания едновременно като проблем с непрекъснатостта на работата и като възможен инцидент със сигурността.

Съкратете всяко разследване на SOC предупреждение с 21 минути. Осигурете на вашия SOC незабавен контекст за IOC за бърз отговор: Интегрирайте TI Lookup във вашия SOC