Злонамерени субекти активно експлоатират две критични уязвимости от тип нулев ден в устройствата Citrix NetScaler ADC и NetScaler Gateway, което им позволява да изпълняват код дистанционно върху изложени в интернет системи.

Уязвимостите, регистрирани като CVE-2026-88771 и CVE-2026-88772, получиха оценка за тежест по CVSS v4 от 9.5 от 10 и бяха добавени към каталога с известни експлоатирани уязвимости (KEV) на Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA).

CISA потвърди, че е получила доклади и разузнавателни данни от партньори, показващи глобална активност по експлоатация. Citrix пусна извънредни обновления, след като потвърди, че са извършени атаки срещу управлявани от клиенти инсталации на NetScaler без инсталирани корекции за сигурност. Засегнатите продукти често се разполагат на периметъра на мрежата, за да осигуряват доставка на приложения, балансиране на натоварването, VPN достъп и сигурен отдалечен достъп.

Тази позиция прави компрометираното устройство изключително ценно за авторите на заплахи, тъй като то се намира между потребителите в интернет и вътрешните корпоративни системи.

CVE-2026-88771 е проблем с неправилна проверка на входните данни, който може да позволи на неавтентикиран отдалечен атакуващ да изпълнява произволни команди на уязвим NetScaler ADC или Gateway.

Тя засяга всички уязвими внедрявания, включително устройства, използващи конфигурацията по подразбиране. Не е необходимо активиране на опционална функция, за да бъде достигната уязвимостта, което я прави по-всеобхватната от двата проблема. От Citrix посочват, че уязвимостта има ниска сложност на атаката, което означава, че на атакуващия не са му нужни потребителски профил или взаимодействие с потребител, за да започне експлоатацията.

Вторият дефект, CVE-2026-88772, е уязвимост от тип препълване на паметта, която може да доведе до дистанционно изпълнение на код или състояния на отказ на услуга (DoS). За разлика от CVE-2026-88771, този проблем изисква активиран протокол Datagram Transport Layer Security (DTLS).

DTLS е активиран по подразбиране на виртуалните VPN сървъри на NetScaler, освен ако администраторите изрично не са го изключили. Това прави внедряванията за отдалечен достъп ключова зона за преглед от екипите по сигурност.

Citrix предостави проверки на конфигурацията, които могат да помогнат на администраторите да определят дали DTLS е активен на виртуален сървър на NetScaler. И двете zero-day уязвимости бяха оповестени на 27 септември 2026 г. заедно с шест други дефекта в NetScaler. Citrix потвърди, че киберпрестъпниците вече са експлоатирали двата проблема за дистанционно изпълнение на код, преди корекциите да бъдат публикувани.

CISA предупреждава за две zero-day уязвимости в Citrix NetScaler

Екипите по сигурност трябва да третират съобщението като активен инцидент, изискващ реакция, а не като рутинна задача по инсталиране на корекции за сигурност. Cyber Security News по-рано съобщи за потвърждението от Citrix на двете zero-day уязвимости в NetScaler, включително рисковете пред изложените в интернет устройства ADC и Gateway.

Бюлетинът за сигурност на производителя посочва версиите на NetScaler ADC и Gateway 14.1 преди 14.1-73.37 и версиите 13.1 преди 13.1-64.23 като уязвими. NetScaler ADC 14.1-FIPS компилации преди 14.1-73.37 FIPS и 13.1-FIPS или NDcPP компилации преди 13.1-37.279 също са засегнати.

Клиентите на Secure Private Access Hybrid, използващи уязвими инстанции на NetScaler, трябва задължително да надстроят и тях. Облачните услуги, управлявани от Citrix, не са обхванати от този бюлетин, тъй като Cloud Software Group прилага актуализациите директно към тях.

Администраторите трябва да идентифицират всяка управлявана от клиента система NetScaler ADC и Gateway, особено устройства, достъпни от публичния интернет, и да преминат към коригираните версии възможно най-бързо от оперативна гледна точка.

Citrix препоръчва 14.1-73.37 или по-нова версия за клона 14.1 и 13.1-64.23 или по-нова за клона 13.1. Внедряванията с FIPS и NDcPP изискват съответните коригирани версии. Организациите трябва също така да проверят дали CVE-2026-88772 е приложима, като прегледат настройките на DTLS за VPN и други виртуални сървъри.

Според CISA само инсталирането на корекции за сигурност може да не премахне риска, ако устройството вече е било компрометирано. CISA препоръчва на организациите да потърсят следи от компрометиране преди прилагането на обновленията и да изпращат журналите (logs) на NetScaler към централизирана SIEM платформа или система за съхранение на логове, тъй като локалните логове на устройството могат бързо да се пренапишат и да заличат доказателствата. CISA публикува и ресурси с правила за засичане по Sigma, които да подпомогнат разследването и търсенето на подозрителна активност в NetScaler.

Когато има подозрения за компрометиране, организациите трябва първо да запазят доказателствата, включително системни копия (snapshots), пакети за поддръжка, данни от оперативната памет при необходимост и отдалечени записи от syslog.

Citrix съветва изолиране на засегнатото устройство, промяна на идентификационните данни и съхраняваните тайни, оттегляне на сертификати и частни ключове, разследване на свързаните системи и възстановяване от проверено и чисто резервно копие, създадено преди предполагаемото компрометиране.

Възстановените пароли, ключове за криптиране на ключове и SSL сертификати след това трябва да бъдат подменени (ротирани). Ситуацията надхвърли първоначалните две уязвимости. CISA актуализира предупреждението си на 9 октомври, като включи CVE-2026-107406 и подчерта необходимостта от спешно инсталиране на корекции за сигурност за уязвимостите от CVE-2026-88771 до CVE-2026-88779.

CVE-2026-88779, отделен активно експлоатиран проблем в NetScaler, свързан със SAML, може да предизвика отказ на услуга и да бъде използван за принудително рестартиране, улесняващо изпълнението на инжектиран код, въведен предварително чрез експлоатация на CVE-2026-88771.

Cyber Security News отрази и активно експлоатираната SAML уязвимост от тип нулев ден в NetScaler, която изисква от засегнатите организации да приложат по-нов набор от обновления за NetScaler.

За защитниците непосредственият приоритет е ясен: отстраняване на уязвимостите чрез корекции на изложените NetScaler системи, запазване на логовете преди въвеждане на големи промени, преглед на автентикацията и административната активност и допускане, че уязвимо устройство, изложено към интернет, може вече да е било сканирано или компрометирано.