CVE-2026-88771 та CVE-2026-88772: Критичні уразливості нульового дня в Citrix NetScaler експлуатуються в дикій природі

Citrix випустила екстрені оновлення безпеки для двох критичних нульових вразливостей дня, що впливають на NetScaler ADC і NetScaler Gateway після підтвердження, що зловмисники вже експлуатують обидва недоліки в реальних атаках. Відстежувані як CVE-2026-88771 і CVE-2026-88772, вразливості кожна має оцінку CVSS v4.0 9.5 і можуть дозволити виконання неавторизованого віддаленого коду на вразливих пристроях.

Ці недоліки особливо небезпечні, оскільки пристрої NetScaler зазвичай розташовані на межі корпоративних мереж, забезпечуючи доставку додатків, доступ до VPN, автентифікацію і віддалене з’єднання. Успішне компрометування може, таким чином, дати зловмисникам стратегічно цінний плацдарм між зовнішніми користувачами і внутрішньою інфраструктурою.

CVE-2026-88771 викликано неправильною перевіркою введення і може дозволити неавторизованому зловмиснику виконувати довільні команди віддалено. Ніякі додаткові функції або спеціальні конфігурації не потрібні: вразливі розгортання NetScaler ADC і Gateway піддаються вразливості навіть у своїй стандартній конфігурації.

CVE-2026-88772 — це вразливість переповнення пам’яті, яка може призвести до віддаленого виконання коду або відмови в обслуговуванні. Експлуатація вимагає включення DTLS, але Citrix зазначає, що DTLS увімкнено за замовчуванням на віртуальних VPN-серверах, що робить багато розгортань NetScaler Gateway потенційно піддаються без явного увімкнення функції адміністраторами.

CISA додала обидві вразливості до свого каталогу відомих експлуатованих вразливостей 27 вересня 2026 року, посилаючись на звіти та партнерську розвідку, що підтверджують глобальну експлуатацію. Федеральним цивільним виконавчим агентствам було надано час до 30 вересня для впровадження виправлень Citrix.

Контакти з продажу

Аналіз CVE-2026-88771 і CVE-2026-88772

Ці два нульових дня пропонують різні технічні шляхи до компрометації, але призводять до однаково серйозних наслідків.

Аналіз CVE-2026-88771 зосереджується на слабкості неправильної перевірки введення, класифікованій як CWE-20. Citrix заявляє, що неавтентифікований мережевий нападник може експлуатувати цю вразливість для виконання довільних команд на вразливому пристрої NetScaler.

Ця вразливість не вимагає спеціального режиму розгортання. CVE-2026-88771 впливає на всі вразливі інсталяції NetScaler ADC та NetScaler Gateway, включаючи системи, які працюють у стандартній конфігурації.

Його вектор CVSS 4.0 є таким:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Ця вразливість доступна віддалено, не вимагає привілеїв від нападника чи взаємодії з жертвою, і може мати великий вплив на конфіденційність, цілісність і доступність.

CVE-2026-88772 йде іншим шляхом. Вразливість класифікована як CWE-119, Неправильне обмеження операцій у межах буфера пам’яті. Пошкодження пам’яті, спричинене через вразливий шлях DTLS, може спричинити як віддалене виконання коду, так і відмову в обслуговуванні.

Ключові деталі для CVE-2026-88772 пов’язані з конфігурацією. Вразлива умова існує, коли DTLS увімкнено на NetScaler ADC або Gateway. Citrix особливо попереджає, що DTLS увімкнено за замовчуванням на віртуальних VPN-серверах.

Наприклад, конфігурація така як:

додати vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE

не вимикає явно DTLS, що означає, що віртуальний VPN-сервер залишається вразливим.

Конфігурація, що містить:

-dtls OFF

не відповідає задокументованій передумові для цієї конкретної вразливості.

Інші віртуальні сервери, налаштовані безпосередньо з типом DTLS, також можуть мати вразливу функціональність.

CVE-2026-88772 має наступний вектор CVSS 4.0:

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Хоча Citrix оцінює складність атаки вищу, ніж CVE-2026-88771, успішна експлуатація все ще може надати можливість виконання неавторизованого RCE і потенційно повну компрометацію ураженого пристрою.

Обидві вразливості впливають на такі підтримувані випуски NetScaler до їх відповідних виправлених збірок:

• NetScaler ADC і NetScaler Gateway 14.1 до 14.1-73.37
• NetScaler ADC і NetScaler Gateway 13.1 до 13.1-64.23
• NetScaler ADC FIPS 14.1 до 14.1-73.37 FIPS
• NetScaler ADC FIPS та NDcPP 13.1 до 13.1-37.279

Гібридні розгортання Secure Private Access, що використовують уражені екземпляри NetScaler, також потребують оновлень.

Хмарні сервіси під управлінням Citrix і адаптивна автентифікація під управлінням Citrix управляються групою Cloud Software Group, яка застосовує необхідні оновлення програмного забезпечення до цих керованих сервісів.

Розкриття слідувало своєрідним попередженням протягом попереднього уїк-енду. До того, як Citrix оприлюднила ідентифікатори CVE і патчі, дослідники безпеки та інцидентні реагенти повідомили про докази декількох раніше невідомих уразливостей RCE у NetScaler, які експлуатуються проти пристроїв з інтернетом. Деяким організаціям було рекомендовано ізолювати або тимчасово вимкнути вразливі системи, очікуючи офіційної мережевої корекції.

Citrix опублікувала CTX697096 27 вересня, підтвердивши, що експлуатація обох уразливостей була виявлена на нерозв’язаних розгортаннях.

Точні дати приватного виявлення не були публічно оголошені, і Citrix не ідентифікувала акторів загрози, відповідальних за атаки, або надала остаточну дату початку кампанії з експлуатації.

Атаки мають значення, оскільки пристрої на межі забезпечують привабливий початковий плацдарм. Успішне виконання команди або коду на системі NetScaler може потенційно дозволити зловмисникам розгорнути постійні навантаження, отримати доступ до автентифікаційного матеріалу, перевіряти трафік, красти облікові дані, змінювати конфігурацію або переходити до систем, до яких можна доступити з пристрою.

Це потенційні наслідки компрометації пристрою. Citrix не задокументувала повну післяексплуатаційну ланцюг, що використовується в кожній спостережуваній атаці.

На даний момент немає достовірно, незалежно підтвердженого цілковито розробленого публічного PoC CVE-2026-88771 згаданого в радниках Citrix або двох запитах звітів. Це не знижує негайний ризик: Citrix та CISA вже підтвердили, що зловмисники мають робочі можливості експлуатації.

Citrix забезпечила загальні можливості виявлення компрометації через консоль NetScaler Console Security Advisory. Функція вимагає телеметрії та доступна через службу Console, а також підтримується на он-премісних розгортаннях Console з використанням Cloud Connect.

Немає всеосяжного публічного набору специфічних для атак IoC CVE-2026-88772 таких як IP-адреси, хеші шкідливого ПЗ, домени або командні рядки в вихідному матеріалі. Організації повинні уникати вважати відсутність відомої відповідності IoC доказом чистоти пристрою.

Citrix спеціально попереджає, що доступні перевірки не можуть охопити кожну техніку зловмисника і можуть не визначити кожну компрометацію. Зовнішні логи та криміналістичні докази тому важливі.

Пом’якшення CVE-2026-88771 і CVE-2026-88772

Citrix настійно рекомендує негайно оновити кожен уражений пристрій NetScaler ADC і Gateway.

Виправлені збірки є такими:

• NetScaler ADC / Gateway 14.1-73.37 або пізніше
• NetScaler ADC / Gateway 13.1-64.23 або пізніше
• NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS або пізніше
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.279 або пізніше

Адміністратори, які використовують 13.1, повинні також перевірити останні інструкції з оновлення від Citrix. Citrix зазначає, що деякі розгортання, що використовують змінні NetScaler, можуть стикнутися з проблемою циклу перезавантаження під час оновлення до 13.1-64.23 і радить планувати оновлення до 13.1-64.24, де це можливо.

Для CVE-2026-88771 немає передумови конфігурації, яку можна просто вимкнути. Вразливість впливає на стандартні конфігурації, тому зменшення експозиції не замінює встановлення оновлення постачальника.

Основна пом’якшення CVE-2026-88772 також є оновленням до виправленої збірки. Адміністратори можуть додатково визначити, чи існує вразлива умова DTLS і, де це доречно з оперативної точки зору, явно відключити DTLS на віртуальних серверах VPN до завершення патчу. Це слід розглядати лише як засіб зменшення експозиції для цієї CVE, а не як заміну оновлення пристрою.

Оскільки експлуатація вже відбулася, захисники повинні підходити до виправлення як до обох – і оновлення програмного забезпечення, і заходів реагування на інциденти.

Виявлення CVE-2026-88771 має починатися з виявлення кожного клієнта, який керує NetScaler ADC і Gateway, визначаючи його точну поточну збірку та встановлюючи, чи був він доступним в інтернет до виправлення.

Для другої вразливості команди безпеки повинні перевірити поточну конфігурацію для VPN або інших віртуальних серверів з увімкненим DTLS.

To Виявлення CVE-2026-88772 експлуатація або підозріла активність, пов’язана з будь-яким з нульових днів, захисники повинні розслідувати:

• Непередбачені команди або процеси на пристроях NetScaler
• Новостворені або змінені файли без легітимного адміністративного пояснення
• Незрозумілі зміни конфігурації
• Нові або змінені налаштування автентифікації
• Ненормальні вихідні з’єднання з пристрою
• Непередбачені з’єднання з NetScaler до внутрішніх серверів
• Аварійне завершення роботи пристрою або незрозумілі перезавантаження
• Мітки часу, що показують несанкціоновані зміни під час підозрілого зовнішнього доступу
• Нові механізми стійкості або файли, доступні через веб
• Незвичайна активність автентифікації, пов’язана з пристроєм
• Відмінності між локальними журналами пристрою та зовнішньо збереженими даними SIEM або мережевою телеметрією

Ці поведінки слугують для дослідження, а не є унікальними ознаками вразливостей.

Організації повинні виконати доступне сканування IoC від Citrix через консоль NetScaler Console, але не повинні зупинятися на цьому. Citrix попереджає, що чисте сканування не може достеменно доказати, що експлуатація не відбулася.

Пересилання журналів пристроїв до зовнішнього SIEM особливо цінне. Зловмисник з виконанням коду на пристрої на межі може бути здатний змінити або видалити локальні докази, тоді як зовнішньо збережені записи файрвола, автентифікації, DNS, NetFlow, проксі та SIEM залишаються поза межами компрометованої системи.

CISA також наголосила на криміналістичній сортування як частину своїх рекомендацій щодо виправлення цих двох вразливостей.

У разі підозри на компрометацію, рекомендовані дії для реагування включають:

• Зберегти докази з ураженого екземпляра NetScaler
• Ізолювати пристрій
• Відкликати уражені облікові дані та доступи
• Розслідувати системи, з якими пристрій спілкувався
• Перебудувати компрометований пристрій
• Оновити до виправленого випуску прошивки
• Обновити паролі локальних облікових записів
• Обертати ключі шифрування, де це доречно
• Замінити відновлені SSL-сертифікати при відновленні з відомо доброї резервної копії
• Зміцнити відбудований пристрій відповідно до рекомендацій з безпеки Citrix

Патчинг раніше компрометованого пристрою не усуває стійкість, веб-оболонки, вкрадені облікові дані чи інші артефакти нападника, які можуть вже існувати.

Організації повинні таким чином трактувати будь-який вразливий пристрій, розташований на насамперед інтернетом протягом відомого періоду експлуатації, як такий, що вимагає ретроспективного розслідування.