Роб Уайт, старший директор новостей, Dark Reading, 29 сентября 2026 года, 4 минуты чтения. Источник: JHVE через Shutterstock. Citrix 27 сентября раскрыла две критические уязвимости нулевого дня в NetScaler после того, как сообщения о эксплуатации вызвали тревогу среди клиентов в течение нескольких дней. CVE-2026-88771 — это уязвимость удаленного выполнения кода (RCE) с оценкой 9.5 по CVSS, которая возникает из-за неправильной проверки входных данных, в то время как CVE-2026-88772 — это уязвимость переполнения памяти, также с оценкой 9.5 по CVSS, которая может привести к RCE и распределенным атакам отказа в обслуживании (DDoS). Оба нулевых дня затрагивают стандартные конфигурации продуктов Citrix NetScaler Application Delivery Control (ADC) и Getaway. "Эксплуатация CVE-2026-88771 и CVE-2026-88772 на незащищенных развертываниях NetScaler была зафиксирована", — заявила Citrix в своем уведомлении, в котором настоятельно призвала клиентов обновить свое программное обеспечение. Однако первые публичные сообщения о возможной эксплуатации появились в сети 25 сентября в теме Reddit, и есть дополнительные доказательства того, что атаки начались "по крайней мере неделю назад", согласно Бенджамину Харрису, основателю и генеральному директору watchTowr.
Связано: AI-агенты — это привилегированные пользователи; кто проверяет их доступ?
Проблемы с коммуникацией при атаках на NetScaler. 25 сентября несколько пользователей Citrix отметили на Reddit, что ИТ-поставщики и команды безопасности призывают их отключить свои устройства NetScaler. Кроме того, один пользователь Reddit опубликовал частое предварительное уведомление от Нидерландского национального центра кибербезопасности (NCSC-NL), предупреждающее о возможных атаках нулевого дня на NetScaler, но оно было позже удалено. Согласно FAQ от Tenable о деятельности по эксплуатации, предупреждение было распространено в рамках Протокола светофора (TLP): ограничения AMBER+STRICT, которые ограничивают публичное распространение такой информации. 26 сентября watchTowr предупредила о потенциальных атаках нулевого дня на клиентов NetScaler в публикациях в социальных сетях. "В настоящее время мы быстро реагируем на слухи о том, что несколько неустраненных уязвимостей RCE Citrix NetScaler циркулируют в дикой природе", — заявила компания в посте на X. "Хотя деталей мало, информация заслуживает доверия." Позже в тот же день Харрис опубликовал в LinkedIn, что слухи правдивы. "Хотя деталей мало, мы теперь подтвердили слухи с авторитетными источниками", — написал он. "Пожалуйста, примите это всерьез и немедленно отключите устройства NetScaler." Однако Citrix не раскрыла нулевые дни до следующего дня, вместе с несколькими другими уязвимостями NetScaler, и выпустила патчи. Но Харрис отмечает, что, согласно авторитетным источникам, таким как национальные CERT, эксплуатация началась как минимум неделю назад. Аналогично, GreyNoise заявила в блоге вчера, что впервые обнаружила эксплуатацию 24 сентября.
Связано: Нулевой день Cisco подчеркивает проблемы с аутентификацией API-эндпоинтов.
Недоразумение, поскольку Citrix оставалась молчаливой по поводу слухов о нулевых днях. Харрис критикует молчание Citrix по поводу сообщенных атак, подчеркивая, что в сегодняшнем ландшафте киберугроз с быстро сокращающимися окнами эксплуатации "часы имеют значение", не говоря уже о нескольких днях. "Необычно, чтобы нулевые дни использовались; мы видим это снова и снова", — говорит он Dark Reading. "Но я думаю, что обычно в таких ситуациях вы информируете пользователей о том, что существует риск, который в настоящее время является довольно неуправляемым, и, конечно, я думаю, что это то, что сегодня расстраивает людей." Харрис также сказал, что патч, который команда watchTowr проанализировала для технического анализа CVE-2026-88771, опубликованного вчера, был датирован 24 сентября, что указывает на то, что Citrix знала о деятельности по эксплуатации на прошлой неделе, хотя время неясно. Dark Reading связалась с Citrix для комментариев о том, когда компания узнала о деятельности по эксплуатации, а также о масштабе атак. Производитель программного обеспечения не ответил на эти вопросы и предоставил следующее заявление: "Мы недавно выявили критические уязвимости в Citrix NetScaler ADC и Citrix NetScaler Gateway, что привело нас к немедленному разработке и выпуску новой версии программного обеспечения, которая решает эти проблемы. Мы всегда советуем клиентам своевременно принимать последнюю версию нашего программного обеспечения, и мы подчеркиваем это руководство здесь, чтобы гарантировать, что наши клиенты немедленно получат выгоду от обновлений в этом последнем выпуске."
Связано: MFA не спасет вас от злоупотребления согласиями OAuth.
Харрис раскритиковал Citrix за молчание по поводу слухов о нулевых днях, которые, по его словам, кажутся "почти преднамеренными", и говорит, что компания должна была действовать быстрее, чтобы прояснить ситуацию для клиентов. Вместо этого администраторы NetScaler оказались в затруднительном положении, полагаясь на слухи об атаках и обсуждая, стоит ли отключать свои устройства по всей сети. "Когда слухи начинают распространяться, не позволяйте людям просто паниковать", — говорит он.
Риски для клиентов NetScaler. Харрис говорит, что две уязвимости нулевого дня особенно опасны для предприятий, поскольку они затрагивают стандартные конфигурации продуктов NetScaler и их легко эксплуатировать. "Если это в Интернете, это уязвимо", — говорит он, добавляя, что звезды сошлись таким образом, что для клиентов это не могло быть хуже. Во-первых, он отмечает, что NetScaler используется многими крупными организациями и предприятиями, включая многие в сфере критической инфраструктуры, что дает злоумышленникам высокоценные цели. "У вас также есть явно способный злоумышленник, и у вас есть злоумышленник, который, по сути, имеет универсальный ключ ко всем организациям, использующим Citrix NetScaler, и они действительно его используют", — говорит он. Тем временем Palo Alto Networks сообщила, что ее сканирования выявили более 50,000 открытых экземпляров NetScaler в Интернете. Хотя отключение всех устройств NetScaler в организации может показаться радикальным, Харрис говорит, что в этом случае это может быть оправдано. Если организации не могут обновить до исправленных версий NetScaler ADC и Gateway, им следует рассмотреть возможность отключения продуктов.
Об авторе. Старший директор новостей, Dark Reading. Роб Уайт — давний репортер с более чем 25-летним опытом работы в качестве технологического журналиста. Перед тем как присоединиться к Dark Reading в качестве старшего новостного директора, он работал в различных изданиях.