Агентство США по кибербезопасности и безопасности инфраструктуры (CISA) распорядилось, чтобы федеральные гражданские ведомства обеспечили защиту затронутых устройств Citrix NetScaler с двумя критическими уязвимостями до 30 сентября, после того как Citrix подтвердила их фактическую эксплуатацию в атаках нулевого дня.
Уязвимостям присвоены номера CVE-2026-88771 и CVE-2026-88772. Они позволяют неаутентифицированным злоумышленникам удалённо выполнять команды на уязвимых устройствах NetScaler. Первая уязвимость затрагивает развёртывания NetScaler ADC и NetScaler Gateway с настройками по умолчанию, тогда как для второй требуется включённый DTLS — функция, которая, по словам Citrix, активирована по умолчанию на виртуальных VPN-серверах.
Что потребовала CISA?
CISA добавила обе уязвимости в каталог Known Exploited Vulnerabilities и обязала ведомства, подпадающие под действие обязательной операционной директивы BOD 26-04, устранить уязвимости на устройствах в установленный срок. Агентство также призвало пользователей и системных администраторов ознакомиться с рекомендациями Citrix и, когда это возможно, проверить индикаторы компрометации до установки обновлений.
Агентство предупреждает, что установка обновления может привести к потере части возможностей криминалистического анализа. Поэтому организациям, подозревающим, что они подверглись взлому, следует сохранить доказательства до обновления и при необходимости привлечь специалистов по компьютерной криминалистике.
Исправленные версии и статус старых выпусков
Citrix выпустила обновления для NetScaler ADC и Citrix NetScaler Gateway 14.1-73.37 и более поздних версий, а также 13.1-64.23 и более поздних версий. В число поддерживаемых выпусков также входят NetScaler ADC 14.1-FIPS версии 14.1-73.37 FIPS и более поздних версий, а также NetScaler ADC 13.1-FIPS и 13.1-NDcPP версии 13.1.37.279 и более поздних версий.
Версии 12.1 и 13.0 достигли конца жизненного цикла поддержки и не получают обновлений безопасности; Citrix рекомендует перенести устройства, работающие на них, на поддерживаемую версию.
Почему эта новость важна?
Риск не ограничивается соблюдением нормативных требований американскими ведомствами. Устройства NetScaler, доступные из интернета, обычно работают как точки доступа или VPN-шлюзы, поэтому эксплуатация удалённого выполнения команд потенциально может повлиять на сети организаций. Shadowserver отслеживает более 23 тысяч IP-адресов с признаками открытых в интернете устройств NetScaler, включая около 22 тысяч устройств ADC и немногим более 1500 устройств Gateway; при этом отсутствуют данные, позволяющие определить количество исправленных или фактически затронутых устройств.
Citrix предоставила общедоступные индикаторы компрометации через NetScaler Console, однако признала, что они могут иметь ограниченную криминалистическую ценность и не выявлять все случаи взлома. Поэтому в средах, где наблюдаются подозрительные признаки, одной установки исправления недостаточно: CISA и CERT-EU рекомендуют провести оценку факта компрометации, особенно на устройствах, напрямую подключённых к интернету.
Контекст эксплуатации
Эти две уязвимости стали частью серии эксплуатируемых уязвимостей NetScaler, выявленных в течение года. В марте Citrix предупредила об уязвимостях CVE-2026-3055 и CVE-2026-4368, а затем в начале сентября началась эксплуатация уязвимости обхода аутентификации CVE-2026-19490 после её исправления в середине августа. С ноября 2021 года CISA внесла в список 26 эксплуатируемых уязвимостей Citrix, шесть из которых были связаны с атаками, проведёнными группировками вымогательского программного обеспечения.