Две 0-day уязвимости в Citrix NetScaler эксплуатируются без патча

Специалисты компании watchTowr 26 сентября предупредили о двух новых уязвимостях нулевого дня в устройствах Citrix NetScaler ADC и NetScaler Gateway. Обе позволяют удалённое выполнение кода, обе остаются без патча и, по словам исследователей, уже используются в реальных атаках. Citrix не подтвердила наличие проблем и не выпустила исправление.

NetScaler ADC и Gateway стоят на границе корпоративных сетей: через них проходят VPN и удалённый доступ, балансировка нагрузки и аутентификация пользователей. Компрометация такого узла открывает путь внутрь инфраструктуры.

Что известно

Речь идёт не об обходе аутентификации CVE-2026-19490, который Citrix закрыла 19 августа, а CISA 9 сентября внесла в каталог известных эксплуатируемых уязвимостей. Новые дефекты — иные и остаются неисправленными. Citrix не сообщила, затронуты ли сборки 14.1-73.32 и 13.1-63.21 или более новые версии.

Первая запись watchTowr в X была реакцией на слухи о нескольких RCE-уязвимостях NetScaler: «Деталей мало, но информация заслуживает доверия». В сообщении в 22:19 UTC исследователи уточнили: обе уязвимости обнаружены в ходе криминалистических расследований, эксплуатация началась ещё до появления патча, а коммуникации и исправления от Citrix ожидаются в начале недели, начинающейся 28 сентября.

Фирма не опубликовала доказательств, не назвала жертв и не уточнила, чьи именно расследования выявили атаки. В августе она уже показала, что закрытое в июне переполнение кучи в NetScaler можно использовать для выполнения кода.

Администраторы выключают устройства

В тот же день на Reddit появились сообщения о советах отключать оборудование. Пользователь r/Citrix рассказал, что служба безопасности его ИТ-поставщика позвонила и порекомендовала немедленно выключить NetScaler, не объясняя причин. Другие участники обсуждения сообщили, что их организации поступили так же. Источник этих предупреждений неизвестен.

Без бюллетеня нет ни обходного решения от вендора, ни опубликованных индикаторов компрометации. Поскольку эксплуатация, по описанию watchTowr, происходила до появления патча, его установка не покажет, успел ли злоумышленник проникнуть раньше.

Как действовать

В 2025 году, после атак на нидерландские организации, Национальный центр кибербезопасности Нидерландов предупреждал: одно лишь обновление не снимает риск, ведь доступ, полученный до патча, сохраняется. Рекомендовалось запускать проверочные скрипты центра, которые ищут признаки взлома, но не привязаны к конкретной уязвимости и не гарантируют результата (последнее обновление кода — сентябрь 2025 года).

Существующие рекомендации Citrix на случай подозрения на компрометацию: сначала сохранить улики (снимок инстанса VPX, логи, technical support bundle, дамп), затем изолировать устройство от сети, сменить все пароли и секреты служебных учётных записей, сбросить пароли пользователей, отозвать сертификаты и ключи. Интерфейс управления не должен смотреть в интернет.

Открыт и вопрос, какие версии получат исправление: NetScaler 13.1 достиг конца поддержки 15 сентября, и Citrix не уточнила, будет ли он исправлен.

Источник: The Hacker News