Уязвимостта, свързана с препълване на паметта (memory overflow), би могла да доведе до отказ на услуга (denial-of-service) при определени обстоятелства.
В събота Citrix призова клиентите си незабавно да инсталират корекции за сигурност за уязвимост от тип препълване на паметта в NetScaler ADC и NetScaler Gateway, която е била експлоатирана като нулев ден.
Уязвимостта, проследявана като CVE-2026-88779, би могла да доведе до състояние на отказ на услуга в управлявани от клиенти NetScaler среди, когато са изпълнени определени предварителни условия, съобщиха от компанията.
От Citrix заявиха, че са наблюдавали целенасочени атаки срещу незащитени среди на NetScaler и отбелязаха, че системата може да стане недостъпна в случаи, когато са извършени многократни атаки. От Citrix добавиха, че все още не са установили напълно как тези атаки биха могли да засегнат целостта на данните на клиентите.
Предварителните условия се основават на това дали NetScaler внедряванията са удостоверени с помощта на Security Assertion Markup Language (SAML) съвместно с Gateway или AAA функционалност.
В неделя Агенцията за киберсигурност и инфраструктурна сигурност (CISA) добави CVE-2026-88779 към своя каталог с известни експлоатирани уязвимости (Known Exploited Vulnerabilities). Федералните цивилни изпълнителни органи разполагат със срок до сряда да отстранят уязвимостта в съответните си среди. Няма известна връзка с зловреден софтуер за откуп (ransomware).
Смущения в реакцията
Състоянието на отказ на услуга бе открито в момент, когато хиляди клиенти на Citrix се опитват спешно да се справят с две уязвимости от тип нулев ден в същите продукти. По-рано Citrix предупреди за уязвимост за дистанционно изпълнение на код (remote code execution), проследявана като CVE-2026-88771, и уязвимост от тип препълване на паметта, проследявана като CVE-2026-88772, за които изследователите по сигурността заявиха, че се експлоатират от края на август.
Фондацията Shadowserver е идентифицирала над 20 000 експонирани инстанции, които са потенциално уязвими за експлоатация.
Десетки компании от множество сектори, както и правителствени агенции, са били компрометирани при атаките от предполагаеми държавно спонсорирани злонамерени субекти.
Citrix предупреди, че успешното експлоатиране на уязвимостите може да доведе до различни последици, включително дистанционно изпълнение на код, отказ на услуга, пренаписване на HTTP заявки (HTTP request smudging), заобикаляне на политики за сигурност и други състояния. Изследователи от Google Threat Intelligence Group и Mandiant Consulting идентифицираха персонализирани уеб шелове (web shells), които са били внедрени, включително Whipshot за командване и контрол (C2) и Slapshot за осигуряване на присъствие (persistence).
Миналата седмица изследователите предупредиха, че самото инсталиране на корекция за сигурност не гарантира решаването на проблема при среди със съмнения за инфекция. В петък CISA публикува Sigma правила за откриване, за да помогне на екипите по сигурност да идентифицират потенциално компрометиране.
„Преди споделянето на тези правила организациите разчитаха на вградените инструменти за анализ на Citrix или извършваха ръчни проверки директно върху устройството“, заяви Тейлър Маклелан, главен аналитик по изследване на заплахите в GTIG, пред Cybersecurity Dive. „Въпреки че скенерите на Citrix са ценна първа стъпка за локален анализ на устройството, всяка локална оценка би била ограничена по силата си, ако атакуващият вече е изтрил локалните дневници (logs), което в някои случаи е било направено.“
От Citrix заявиха, че клиентите трябва да проверят своите NetScaler среди, за да се уверят дали отговарят на предварителните условия. Компанията пусна мерки за ограничаване на риска, които могат да бъдат приложени чрез функцията Global Deny List.