Citrix пусна извънредни актуализации за нова уязвимост за отказ на обслужване в NetScaler, проследявана като CVE-2026-88779, която е била експлоатирана при атаки от тип нулев ден, докато изследователите проучват дали тя може да се използва и за отдалечено изпълнение на код.

Уязвимостта представлява дефект в паметта (буфера), засягащ устройствата NetScaler ADC и NetScaler Gateway, които използват SAML автентификация с функционалност Gateway или AAA.

В бюлетина за сигурност на Citrix се посочва, че уязвимостта има CVSS оценка 8.7 и е била използвана при целеви атаки срещу незащитени NetScaler среди, причинявайки състояние на отказ на обслужване.

„Citrix наблюдава целеви атаки срещу незащитени внедрявания на NetScaler, които могат да доведат до отказ на обслужване“, заявиха от Citrix в свързана публикация в блога си днес.

„Ако състоянието се задейства многократно, услугата може да остане недостъпна. Нашият анализ показва, че този проблем засяга достъпността на услугата и не сме установили въздействие върху целостта на данните на клиентите.“

Рано сутринта в неделя Citrix пусна NetScaler ADC и NetScaler Gateway 14.1-73.41 и 13.1-64.28, за да отстрани zero-day уязвимостта CVE-2026-88779.

За внедрявания с FIPS клиентите трябва да преминат към 14.1-73.41 FIPS. Клиентите на NetScaler ADC FIPS и NDcPP от клона 13.1 трябва да инсталират 13.1-37.282.

Citrix осигурява и глобални списъци за блокиране (Global Deny Lists), които ще спират достъпа от известни злонамерени IP адреси. Компанията обаче препоръчва на клиентите да инсталират новоиздадените корекции за сигурност възможно най-скоро.

Компанията посочва, че организациите могат да определят дали техните устройства са уязвими, като проверят дали е конфигурирана SAML автентификация:

  • Устройството е конфигурирано като SAML SP add authentication samlAction ИЛИ
  • Устройството е конфигурирано като SAML IdP add authentication samlIdPProfile

За съжаление, организациите, които наскоро актуализираха NetScaler устройствата си, за да коригират две активно експлоатирани уязвимости, трябва да ги актуализират отново, за да отстранят този дефект.

„Ако сте актуализирали вашето NetScaler внедряване с една от актуализираните версии на софтуера, посочени в бюлетина за сигурност за CVE 2026-88771 до CVE 2026-88778, и сте установили, че то отговаря на предварителните условия, описани по-горе, моля, актуализирайте го отново“, предупреди Citrix.

Изследователи проучват възможно изпълнение на код

Въпреки че Citrix описва CVE-2026-88779 като уязвимост за отказ на обслужване, администратори на NetScaler и изследователи по киберсигурност са забелязали активност, която показва, че тя може да се използва за отдалечено изпълнение на код.

Новите атаки за първи път бяха докладвани в четвъртък, след като администратори на NetScaler съобщиха, че наскоро обновени устройства неочаквано се рестартират.

В тема в Reddit един NetScaler администратор сподели, че множество клиенти с NetScaler 14.1-73.37 изпитват многократни принудителни рестартирания, въпреки че са инсталирали най-новите налични към момента корекции за сигурност.

Други администратори бързо съобщиха за подобно поведение, включително при устройства, възстановени от чисти изображения. В друга тема в Reddit се посочва, че процесът nsaaad се срива многократно, докато Pitboss процесът на NetScaler достигне лимита си за повторно стартиране и рестартира целия уред.

Първоначално бе неясно дали скенерите за уязвимости задействат грешка в наскоро издаден фърмуер, или атакуващите активно експлоатират нови дефекти в NetScaler устройствата.

Въпреки това, един администратор, разследващ инцидентите на NetScaler 14.1-73.37 среди, забеляза специално формирани потребителски имена за автентификация, съдържащи командни шел строги, които изтеглят зловреден код от IP адрес 213.209.159[.]55, запазват го като /v и го изпълняват.

Според администратора тези заявки са се появили непосредствено преди три потвърдени последователности от сривове на nsaaad на едно от устройствата и са били насочени към множество SAML фактори за автентификация.

Администраторът подчерта, че логовете показват опит за експлоатация и свързаните с тях сривове, но не потвърждават, че командите са били успешно изпълнени.

Други администратори съобщиха за същите модели на срив на nsaaad и Pitboss, включително на системи, вече обновени до версия 14.1-73.37.

Докато администраторите продължаваха да разследват сривовете, в петък Citrix публикува известие за сигурност, посочвайки, че нейните инженерни екипи и екипи по поддръжка следит „новонаблюдаван проблем“, свързан със SAML автентификацията в NetScaler внедрявания, управлявани от клиенти.

Компанията заяви, че засегнатите конфигурации съдържат настройка authentication samlAction или authentication samlIdPProfile и съветва клиентите, засегнати от проблема, да се свържат с поддръжката на Citrix.

Citrix също потвърди, че проблемът се различава от предишно разкритите уязвимости в NetScaler.

Експертът по киберсигурност Кевин Бомонт също съобщи, че обновени NetScaler 13.1 и 14.1 „примамки“ (honeypots) са се сривали след получаване на заявки от множество изходни IP адреси, описвайки активността като потенциално още една уязвимост тип „PitScaler“.

По-късно той заяви, че активността изглежда отива по-далеч от обикновен отказ на обслужване, след като е открил, че в една от неговите актуализирани среди се изпълнява изтеглен зловреден код.

„И така, на една от примамките се изпълнява изтеглен (зловреден) двоичен файл. И двете бяха актуализирани, така че това е нова уязвимост“, заяви Бомонт.

„Атаката се разпространява масово на принципа „проба-грешка“. Една от средите дори няма валиден SSL сертификат, тъй като оставих валидността му да изтече.“

Бомонт допълни, че CVE-2026-88779 първоначално е била описана като „уязвимост, свързана с препълване на паметта, водеща до отказ на обслужване“, подобно на първоначалното характеризиране на CVE-2025-6543, преди последващи атаки да покажат, че тя може да се използва за отдалечено изпълнение на код.

Компанията за киберсигурност watchTowr Labs също потвърди, че е възпроизвела уязвимостта, след като първоначално е проучила доклади за активност около NetScaler среди.

Изследователите все още не са разкрили технически подробности относно начина, по който са възпроизвели дефекта.

В неделя CISA добави CVE-2026-88779 към своя каталог с известни експлоатирани уязвимости (Known Exploited Vulnerabilities), потвърждавайки, че дефектът се експлоатира активно и даде срок на федералните агенции в САЩ до 7 октомври да го отстранят.