Злоумышленники, по всей видимости, начали использовать критическую уязвимость в Citrix NetScaler ADC и NetScaler Gateway с начала сентября, о чем сообщает Google. Национальный центр кибербезопасности (NCSC) рекомендует организациям учитывать возможность компрометации системы Citrix, если она была доступна из интернета до установки обновления.
Citrix выпустил обновления безопасности 27 сентября для различных уязвимостей в NetScaler ADC и NetScaler Gateway, включая две уязвимости (CVE-2026-88771 и CVE-2026-88772), которые злоумышленники уже активно эксплуатировали. Через эти две уязвимости неавторизованные злоумышленники могут удаленно захватывать уязвимые системы Citrix. Citrix NetScaler ADC — это сервер, который организации размещают между своими серверами и интернетом. Основная функция заключается в распределении входящего трафика между доступными серверами, чтобы веб-сайты и приложения оставались быстро и хорошо доступными.
С помощью Citrix NetScaler Gateway сотрудники компаний могут удаленно получать доступ к корпоративным приложениям, корпоративным средам и интранетам. Поэтому он широко используется для удаленной работы. Влияние компрометированной системы Citrix NetScaler может быть значительным. Эксплуатация CVE-2026-88771 и CVE-2026-88772, по сообщениям, продолжается уже несколько недель. Через уязвимости злоумышленники устанавливают веб-оболочку для сохранения доступа к скомпрометированной системе Citrix и проведения дальнейших атак, как ранее сообщили CERT Europe и компания по кибербезопасности Greynoise.
В новом анализе Google сообщает, что эксплуатация CVE-2026-88772 происходит, по всей видимости, с начала сентября, и что системы Citrix государственных учреждений, финансовых учреждений, технологических компаний, образовательных учреждений и юридических и профессиональных сервисов в Европе и США с высокой вероятностью были взломаны. Google также утверждает, что злоумышленники устанавливают веб-оболочки, чтобы атаковать внутреннюю сеть и красть учетные данные. Кроме того, компания сообщает, что кампания атак демонстрирует, что устройства на границе, такие как VPN и файрволы, остаются мишенью для злоумышленников, стремящихся получить доступ к сетям организаций.
Citrix уже предоставила несколько скриптов, с помощью которых организации могут проверить, были ли их системы взломаны. "Из-за подтвержденной эксплуатации уязвимостей с идентификаторами CVE-2026-88771 и CVE-2026-88772 рекомендуется учитывать возможность предыдущей компрометации для систем, которые были доступны из интернета до установки обновления", — заявил NCSC. Он также рекомендует организациям обеспечить соответствующий логгинг и дамп памяти, чтобы потенциальные судебные доказательства оставались доступными для расследования предыдущей эксплуатации.