CVE-2026-88771 i CVE-2026-88772: Krytyczne luki dnia zerowego w Citrix NetScaler wykorzystywane w środowisku rzeczywistym

Citrix wydał awaryjne aktualizacje zabezpieczeń dla dwóch krytycznych luk zero-day wpływających na NetScaler ADC i NetScaler Gateway po potwierdzeniu, że atakujący już wykorzystują oba błędy w rzeczywistych atakach. Śledzone jako CVE-2026-88771 i CVE-2026-88772, luki te mają wskaźnik CVSS v4.0 na poziomie 9.5 i mogą umożliwić nieuwierzytelnione zdalne wykonanie kodu na podatnych urządzeniach.

Usterki są szczególnie niebezpieczne, ponieważ urządzenia NetScaler często znajdują się na brzegu sieci przedsiębiorstw, zapewniając dostarczanie aplikacji, dostęp VPN, uwierzytelnianie i zdalną łączność. Skuteczne przejęcie może zatem dać atakującym strategicznie cenną pozycję pomiędzy użytkownikami zewnętrznymi a wewnętrzną infrastrukturą.

CVE-2026-88771 jest spowodowane niewłaściwą walidacją danych wejściowych i może pozwolić nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń. Nie jest wymagana żadna opcjonalna funkcja ani specjalna konfiguracja: podatne są wdrożenia NetScaler ADC i Gateway nawet w ich domyślnej konfiguracji.

CVE-2026-88772 to luka typu przepełnienie pamięci, która może prowadzić do zdalnego wykonania kodu lub odmowy usługi. Wykorzystanie wymaga włączenia DTLS, ale Citrix zauważa, że DTLS jest domyślnie włączony na wirtualnych serwerach VPN, co oznacza, że wiele wdrożeń NetScaler Gateway może być podatnych na zagrożenia nawet bez wyraźnego włączenia tej funkcji przez administratorów.

CISA dodała obie luki do swojego katalogu Znanych Eksploatowanych Wagności 27 września 2026 r., powołując się na raporty i informacje od partnerów potwierdzające globalną eksploatację. Federalne agencje wykonawcze miały czas do 30 września na zastosowanie poprawek Citrix.

Skontaktuj się z działem sprzedaży

Analiza CVE-2026-88771 i CVE-2026-88772

Dwie luki zero-day oferują różne ścieżki techniczne do naruszenia bezpieczeństwa, lecz prowadzą do równie poważnych skutków.

Analiza CVE-2026-88771 skupia się na słabości walidacji wejścia klasyfikowanej jako CWE-20. Citrix stwierdza, że nieuwierzytelniony atakujący sieciowy może wykorzystać tę lukę do wykonania dowolnych poleceń na podatnym urządzeniu NetScaler.

Luka nie wymaga specjalnego trybu wdrożenia. CVE-2026-88771 dotyczy wszystkich podatnych instalacji NetScaler ADC i NetScaler Gateway, w tym systemów działających w domyślnej konfiguracji.

Jego wektor CVSS 4.0 to:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Luka jest zdalnie dostępna, nie wymaga uprawnień atakującego ani interakcji ofiary i może mieć duży wpływ na poufność, integralność i dostępność.

CVE-2026-88772 wybiera inną ścieżkę. Luka jest klasyfikowana jako CWE-119, Niewłaściwa ograniczenie operacji w granicach bufora pamięci. Uszkodzenie pamięci wywołane przez podatną ścieżkę DTLS może spowodować zdalne wykonanie kodu lub odmowę usługi.

Kluczowe szczegóły dotyczące CVE-2026-88772 są powiązane z konfiguracją. Podatna sytuacja istnieje, gdy DTLS jest włączony na urządzeniu NetScaler ADC lub Gateway. Citrix szczególnie ostrzega, że DTLS jest domyślnie włączony na wirtualnych serwerach VPN.

Na przykład, konfiguracja taka jak:

add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE

nie wyłącza wyraźnie DTLS, co oznacza, że wirtualny serwer VPN pozostaje odsłonięty.

Konfiguracja zawierająca:

-dtls OFF

nie spełnia udokumentowanego wymogu wstępnego dla tej konkretnej luki.

Inne wirtualne serwery skonfigurowane bezpośrednio z typem DTLS mogą również odsłaniać podatną funkcjonalność.

CVE-2026-88772 ma następujący wektor CVSS 4.0:

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Chociaż Citrix ocenia złożoność ataku jako wyższą niż w przypadku CVE-2026-88771, udane wykorzystanie może nadal zapewnić nieuwierzytelnione RCE i potencjalnie całkowite przejęcie kontrolowane urządzenia.

Obie luki wpływają na następujące wspierane wydania NetScaler przed ich odpowiednimi poprawionymi kompilacjami:

• NetScaler ADC i NetScaler Gateway 14.1 przed 14.1-73.37
• NetScaler ADC i NetScaler Gateway 13.1 przed 13.1-64.23
• NetScaler ADC FIPS 14.1 przed 14.1-73.37 FIPS
• NetScaler ADC FIPS i NDcPP 13.1 przed 13.1-37.279

Zabezpieczenia Hybrydowy Dostęp Prywatny używające podatnych instancji NetScaler również wymagają aktualizacji.

Usługi chmurowe zarządzane przez Citrix i Citrix zarządzane Uwierzytelnianie Adaptacyjne są obsługiwane przez Cloud Software Group, która stosuje wymagane aktualizacje oprogramowania w tych zarządzanych usługach.

Ujawnienie nastąpiło po niezwykłych ostrzeżeniach w poprzedni weekend. Zanim Citrix opublikował identyfikatory CVE i poprawki, badacze bezpieczeństwa i respondenci incydentów zgłaszali dowody na wykorzystanie wielu wcześniej nieujawnionych luk RCE w NetScaler przeciwko urządzeniom wystawionym na ataki internetowe. Podobno niektóre organizacje zostały poinformowane o konieczności izolacji lub tymczasowego zamknięcia podatnych systemów w oczekiwaniu na oficjalne naprawy.

Citrix opublikował CTX697096 27 września, potwierdzając, że obserwowano eksploatację obu luk na niezmitygowanych wdrożeniach.

Dokładne daty prywatnego odkrycia nie zostały publicznie ujawnione, a Citrix nie zidentyfikował aktorów zagrożeń odpowiedzialnych za ataki ani nie podał ostatecznej daty rozpoczęcia kampanii eksploatacyjnej.

Ataki są istotne, ponieważ urządzenia brzegowe stanowią atrakcyjny początkowy przyczółek. Skuteczne wykonanie polecenia lub kodu na systemie NetScaler może potencjalnie pozwolić atakującym na wdrożenie trwałych ładunków, dostęp do materiałów uwierzytelniających, inspekcję ruchu, kradzież poświadczeń, zmianę konfiguracji lub przejście w kierunku systemów osiągalnych z urządzenia.

To są potencjalne konsekwencje kompromitacji urządzenia. Citrix nie udokumentował publicznie kompletnego łańcucha poeksploatacyjnego stosowanego w każdym zaobserwowanym ataku.

Obecnie nie ma wiarygodnego, niezależnie zweryfikowanego w pełni stworzonego publicznego PoC CVE-2026-88771 wspomnianego w poradniku Citrix lub dwóch żądanych raportach. Nie zmniejsza to jednak bezpośredniego ryzyka: Citrix i CISA już potwierdziły, że atakujący posiadają działające możliwości eksploatacyjne.

Citrix udostępnił ogólne zdolności wykrywania kompromisów za pośrednictwem przewodnika zabezpieczeń NetScaler Console. Funkcja ta wymaga telemetrii i jest dostępna przez usługę Console, a także wspierana na wdrożeniach na miejscu Console z użyciem Cloud Connect.

Nie ma pełnego, publicznego zestawu specyficznych dla atakującego IOC CVE-2026-88772 takich jak adresy IP, sygnatury malware, domeny czy ciągi poleceń w materiale źródłowym. Organizacje powinny zatem unikać traktowania braku znanego dopasowania IOC jako dowodu na czystość urządzenia.

Citrix wyraźnie ostrzega, że dostępne testy nie mogą obejmować każdej techniki atakującego i mogą nie zidentyfikować każdej kompromitacji. Dlatego ważne są zewnętrzne logi i dowody kryminalistyczne.

Łagodzenie skutków CVE-2026-88771 i CVE-2026-88772

Citrix stanowczo zaleca natychmiastową aktualizację każdego podatnego urządzenia NetScaler ADC i Gateway.

Naprawione wersje to:

• NetScaler ADC / Gateway 14.1-73.37 lub nowszy
• NetScaler ADC / Gateway 13.1-64.23 lub nowszy
• NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS lub nowszy
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.279 lub nowszy

Administratorzy korzystający z wersji 13.1 powinni także zapoznać się z najnowszymi wytycznymi dotyczącymi aktualizacji od Citrix. Citrix zauważa, że niektóre wdrożenia korzystające z zmiennych NetScaler mogą napotkać problem pętli restartu podczas aktualizacji do 13.1-64.23 i zaleca planowanie 13.1-64.24, gdzie to możliwe.

Dla CVE-2026-88771 nie ma wymogu konfiguracyjnego, który administratorzy mogliby po prostu wyłączyć. Luka wpływa na domyślne konfiguracje, więc zmniejszenie ekspozycji nie zastąpi instalacji aktualizacji dostawcy.

Podstawowy Łagodzenie CVE-2026-88772 to także aktualizacja do naprawionej wersji. Administratorzy mogą dodatkowo określić, czy występuje podatna sytuacja DTLS i, gdzie jest to operacyjnie odpowiednie, wyraźnie wyłączyć DTLS na wirtualnych serwerach VPN do czasu zakończenia łatania. Należy to traktować tylko jako zmniejszenie ekspozycji dla tego CVE, a nie jako substytut aktualizacji urządzenia.

Ponieważ eksploatacja już miała miejsce, obrońcy powinni podejść do naprawy jako zarówno operacji łatania, jak i reagowania na incydent.

Wykrywanie CVE-2026-88771 powinno zacząć się od zidentyfikowania każdego zarządzanego przez klienta urządzenia NetScaler ADC i Gateway, określenia jego dokładnej wersji działającej oraz ustalenia, czy było dostępne w Internecie przed naprawą.

Dla drugiej luki, zespoły bezpieczeństwa powinny sprawdzić działającą konfigurację dla VPN lub innych wirtualnych serwerów z włączonym DTLS.

To Wykryj eksploatację CVE-2026-88772 lub podejrzane działania związane z obiema lukami zero-day, obrońcy powinni zbadać:

• Nieoczekiwane polecenia lub procesy na urządzeniach NetScaler
• Nowo utworzone lub zmodyfikowane pliki bez uzasadnionego wyjaśnienia administracyjnego
• Niewyjaśnione zmiany konfiguracji
• Nowe lub zmodyfikowane ustawienia uwierzytelniania
• Nietypowe połączenia wychodzące z urządzenia
• Nietypowe połączenia z NetScaler w kierunku wewnętrznych serwerów
• Zawieszenia urządzeń lub niewyjaśnione restartowania
• Znaczniki czasowe pokazujące nieautoryzowane zmiany w okresach podejrzanych zewnętrznych dostępów
• Nowe mechanizmy trwałości lub pliki dostępne przez sieć
• Nietypowa aktywność uwierzytelniania związana z urządzeniem
• Różnice między lokalnymi logami urządzeń a zewnętrznie przechowywaną telemetrią SIEM lub sieciową

Te zachowania to tropy dochodzeniowe, a nie unikalne sygnatury dla tych podatności.

Organizacje powinny przeprowadzić dostępny przez Citrix skan IOC poprzez NetScaler Console, ale nie powinny na tym poprzestać. Citrix ostrzega, że czysty skan nie może ostatecznie udowodnić, że eksploatacja nie miała miejsca.

Przekazywanie logów urządzenia do zewnętrznego SIEM jest szczególnie cenne. Atakujący posiadający możliwość wykonania kodu na urządzeniu brzegowym może być w stanie zmienić lub usunąć lokalne dowody, podczas gdy zewnętrznie przechowywane zapisy firewalli, uwierzytelniania, DNS, NetFlow, proxy i SIEM pozostają poza systemem kompromitowanym.

CISA również podkreśla forensic triage jako część swojego poradnika dotyczącego naprawy dwóch luk.

Jeśli podejrzewa się kompromis, zalecane działania w odpowiedzi obejmują:

• Zachowaj dowody z zainfekowanej instancji NetScaler
• Izoluj urządzenie
• Odwołaj zainfekowane poświadczenia i dostęp
• Zbadaj systemy, z którymi urządzenie komunikowało się
• Odbuduj kompromitowane urządzenie
• Uaktualnij do naprawionej wersji oprogramowania
• Obróć lokalne hasła kont
• Wymień Klucze Szyfrowania gdzie to stosowne
• Zastąp przywrócone certyfikaty SSL przy odbudowie z sprawdzonej kopii zapasowej
• Uodpornić odbudowane urządzenie zgodnie z wytycznymi bezpieczeństwa Citrix

Łatanie wcześniej kompromitowanego urządzenia nie usuwa trwałości, powłok sieciowych, skradzionych poświadczeń ani innych artefaktów atakującego, które mogą już istnieć.

Organizacje powinny zatem traktować każde podatne urządzenie internetowe, które było narażone podczas znanego okresu eksploatacyjnego, jako wymagające retrospektywnego dochodzenia.