CISA добави още една уязвимост в Citrix NetScaler към своя каталог с известни експлоатирани уязвимости (Known Exploited Vulnerabilities) в неделя: CVE-2026-88779, уязвимост с препълване на паметта, която може да доведе до срив на засегнатите NetScaler ADC и Gateway устройства.

„Citrix наблюдава целеви атаки срещу незащитени NetScaler среди, които могат да доведат до отказ на услуга (Denial of Service). Ако състоянието се предизвиква многократно, услугата може да остане недостъпна“, заяви вендорът.

„Нашият анализ показва, че този проблем засяга наличността на услугата и не сме установили въздействие върху целостта на данните на клиентите.“

Наблюдавани атаки след вълна от отстраняване на уязвимости

Изследователите от Bishop Fox и watchTowr получават признание за откриването на CVE-2026-88779, а от watchTowr вече са я възпроизвели, но все още не са споделили технически подробности.

Потребители в Reddit съобщават, че NetScaler устройствата на техните организации сриват и се рестартират, след като са били обновени, за да отстранят осем уязвимости, включително две активно експлоатирани уязвимости от тип нулев ден: CVE-2026-88771 и CVE-2026-88772.

Изглежда, че атакуващите се опитват да експлоатират уязвимостта, за да изтеглят и изпълнят скрипт за инсталиране на webshells.

Изследователят по сигурността Кевин Бомонт съобщи за атаки срещу неговите примамки (honeypots) от множество IP адреси и каза, че е открил изтеглен бинарен зловреден код на една от тях.

Анализатор на заплахи в застрахователната компания Geico сподели SIGMA правило за идентифициране на опити за сканиране и експлоатация, но все още не е ясно дали експлоатацията на тази уязвимост може да доведе до успешно отдалечено изпълнение на код.

Засегнати версии и мерки за защита

Следните поддържани версии на NetScaler са засегнати от CVE-2026-88779:

  • Citrix NetScaler ADC и Citrix NetScaler Gateway 14.1 преди 14.1-73.41
  • Citrix NetScaler ADC и Citrix NetScaler Gateway 13.1 преди 13.1-64.28
  • Citrix NetScaler ADC FIPS преди 14.1-73.41 FIPS
  • Citrix NetScaler ADC FIPS и NDcPP преди 13.1-37.282

CVE-2026-88779 може да бъде експлоатирана в уязвими локални (on-prem) NetScaler среди само ако устройството е конфигурирано да използва SAML автентикация (като доставчик на услуги или доставчик на самоличност) съвместно с Gateway или AAA функционалност.

Citrix съветва клиентите да преминат към коригирана версия и пусна сигнатури, използваеми чрез функцията Global Deny List, за да намали риска, докато планират обновяването. Сигнатурите трябва да блокират достъпа от известни злонамерени IP адреси.

„Citrix предоставя скрипт за проверка за индикатори за компрометиране (IoC) чрез NetScaler Console, за да се проверят засегнатите устройства за следи от пробив. Citrix отбелязва, че най-новата версия на скрипта може да генерира фалшиво положителни резултати за подозрителни nobody процеси, дори когато не открие компрометиране, така че администраторите трябва внимателно да прегледат резултатите и да запазят доказателствата, преди да инсталират актуализацията“, съветват от watchTowr.

CISA нареди на американските федерални цивилни агенции да отстранят уязвимостта до 7 октомври и да проверят за евентуално компрометиране.