Citrix срочно закрыла эксплуатируемую 0-day в NetScaler

Citrix выпустила экстренные обновления для устройств NetScaler, устранив уязвимость CVE-2026-88779, которую злоумышленники уже используют в атаках типа «нулевого дня». Производитель классифицирует её как уязвимость отказа в обслуживании, но исследователи изучают, нельзя ли с её помощью добиться удалённого выполнения кода.

Суть уязвимости

Проблема связана с переполнением буфера памяти и затрагивает устройства NetScaler ADC и NetScaler Gateway, использующие SAML-аутентификацию с функциями Gateway или AAA. Уязвимости присвоена оценка CVSS 8.7. По словам Citrix, целенаправленные атаки велись против незащищённых развёртываний и приводили к отказу в обслуживании: при повторном срабатывании условия сервис может оставаться недоступным. Компания отмечает, что затронута доступность сервиса, а воздействия на целостность данных клиентов не выявлено.

Рано утром в воскресенье Citrix выпустила версии NetScaler ADC и Gateway 14.1-73.41 и 13.1-64.28. Для FIPS-развёртываний предусмотрена сборка 14.1-73.41 FIPS, а клиентам FIPS и NDcPP на ветке 13.1 следует установить 13.1-37.282. Дополнительно доступны глобальные списки блокировки известных вредоносных IP-адресов, но установку обновлений компания называет приоритетной мерой.

Досадная деталь: организациям, недавно обновившим устройства ради устранения уязвимостей CVE-2026-88771–88778, придётся обновляться снова, если их конфигурация использует SAML.

Подозрения на выполнение кода

Хотя Citrix описывает проблему как отказ в обслуживании, администраторы и исследователи наблюдали активность, указывающую на возможность удалённого выполнения кода. Первые сообщения появились в четверг: недавно пропатченные устройства неожиданно перезагружались. На Reddit администраторы жаловались на повторяющиеся принудительные перезагрузки на версии 14.1-73.37, в том числе на устройствах, пересобранных из чистых образов. Процесс nsaaad многократно падал, пока служба Pitboss не достигала предела перезапусков.

Один администратор обнаружил в журналах имена пользователей для аутентификации, содержащие shell-команды: они загружали полезную нагрузку с адреса 213.209.159[.]55, сохраняли её как /v и запускали. Эти запросы предшествовали падениям nsaaad, хотя факт успешного выполнения команд подтверждён не был.

Эксперт Кевин Бомонт сообщил, что его пропатченные honeypot'ы на версиях 13.1 и 14.1 падали после запросов с разных IP, а на одном из них запустился загруженный вредоносный файл — при том, что у honeypot даже не было действующего SSL-сертификата. Он назвал происходящее «spray and pray» и напомнил, что ранее CVE-2025-6543 тоже сначала описывали как отказ в обслуживании, а затем выяснилось, что она допускает выполнение кода. Воспроизвести уязвимость подтвердили и в watchTowr Labs, не раскрыв технических деталей.

В воскресенье CISA внесла CVE-2026-88779 в каталог известных эксплуатируемых уязвимостей, подтвердив активные атаки и обязав федеральные агентства устранить проблему до 7 октября.

Источник: Bleeping Computer