Злоумышленники массово эксплуатируют две критические уязвимости Citrix, сообщают исследователи в области безопасности. Американское киберагентство CISA поручило федеральным государственным учреждениям провести судебно-медицинское расследование своих собственных систем Citrix, однако злоумышленники принимают различные анти-судебно-медицинские меры и удаляют свои следы.
Citrix выпустила обновления безопасности 27 сентября для различных уязвимостей в NetScaler ADC и NetScaler Gateway, включая две уязвимости (CVE-2026-88771 и CVE-2026-88772), которые злоумышленники уже активно эксплуатируют. Через эти две уязвимости неаутентифицированные злоумышленники могут удаленно захватить уязвимые системы Citrix. Citrix NetScaler ADC — это сервер, который организации размещают между своими серверами и интернетом. Основная функция заключается в распределении входящего трафика между доступными серверами, чтобы веб-сайты и приложения оставались быстрыми и доступными.
Через Citrix NetScaler Gateway сотрудники компаний могут удаленно получить доступ к корпоративным приложениям, бизнес-средам и интранетам. Поэтому его часто используют для удаленной работы. Влияние скомпрометированной системы Citrix NetScaler может быть значительным. Злоупотребление CVE-2026-88771 и CVE-2026-88772, по сообщениям CERT Europe и компании по кибербезопасности Greynoise, происходит уже несколько недель. Через уязвимости злоумышленники устанавливают веб-оболочку для сохранения доступа к скомпрометированной системе Citrix и проведения дальнейших атак.
В настоящее время наблюдаются массовые атаки. "Citrix Netscaler CVE-2026-88771 сейчас широко эксплуатируется", говорит Симон Кохонен из компании по кибербезопасности Defused. Также британский исследователь безопасности Кевин Бомонт сообщает о массовом злоупотреблении. Агентство по кибербезопасности и безопасности инфраструктуры (CISA) Министерства внутренней безопасности США может поручить американским государственным учреждениям установить обновления безопасности для активно атакуемых уязвимостей в течение определенного времени.
В случае с уязвимостями Citrix государственные учреждения также были обязаны провести судебно-медицинское расследование своих систем Citrix, чтобы проверить, не были ли они уже взломаны. Для этого ссылаются на скрипт от самой Citrix. Бомонт отмечает, что этот скрипт находит известные веб-оболочки, но веб-оболочки, которые используют злоумышленники, уникальны для каждой системы Citrix. Кроме того, злоумышленники также выполняют анти-судебно-медицинские команды и настраивают задания crontab для удаления своих следов.