# Уязвимости Citrix NetScaler эксплуатировались как минимум три недели до выхода исправлений

> Две критические уязвимости в NetScaler ADC и Gateway использовались в атаках с начала сентября 2026 года. Что говорят публикации и что может проверить небольшой офис, работающий через такой шлюз.

FireAI Security & Research Team (HisnLabs) · Published 2026-10-01
Canonical: https://hisnlabs.com/ru/news/citrix-netscaler-flaws-exploited-three-weeks-before-disclosure

CyberScoop сообщил 29 сентября 2026 года, что злоумышленники эксплуатировали уязвимость в устройствах Citrix NetScaler как минимум три недели до её подтверждения; самая ранняя известная эксплуатация — 3 сентября. Mandiant связывает кампанию с продвинутыми и предположительно поддерживаемыми государством группировками, а Citrix выпустила исправления в воскресенье 28 сентября для обеих уязвимостей и ещё шести дефектов [[1]](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/) [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances). Публикации касаются организаций, но те же шлюзы стоят перед небольшими офисами и удалёнными сотрудниками.

## Предыстория

NetScaler ADC и NetScaler Gateway — устройства на границе сети, которые обеспечивают удалённый доступ и доставку трафика, поэтому по замыслу они доступны из интернета. CyberScoop отмечает, что на граничные устройства в прошлом году пришлось 48 процентов корпоративных атак такого рода и что за ними обычно не ведётся мониторинг средствами обнаружения угроз на конечных точках [[1]](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/). Офис, который получает доступ к своим файлам или приложениям через VPN на NetScaler — сам эксплуатирует устройство или провайдер делает это от его имени, — зависит от того, обновлено ли это устройство.

## Находки

Названы две уязвимости: CVE-2026-88772 и CVE-2026-88771. CyberScoop описывает вторую как уязвимость внедрения команд и сообщает, что обе оценены в 9,5 по шкале CVSS и допускают удалённое выполнение кода на устройствах NetScaler ADC и Gateway в конфигурациях по умолчанию [[2]](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/). Анализ watchTowr для CVE-2026-88772 описывает переполнение памяти при обработке фрагментированных сообщений рукопожатия DTLS. DTLS по умолчанию включён для виртуальных VPN-серверов, и чтобы избежать уязвимости, администратору нужно было явно его отключить [[4]](https://labs.watchtowr.com/here-we-go-again-citrix-netscaler-dtls-preauth-memory-overflow-cve-2026-88772/).

По данным CyberScoop, GreyNoise зафиксировала неудачную попытку эксплуатации 24 сентября, а в выходные по неофициальным каналам распространялись предупреждения, пока Citrix публично молчала; бюллетень Citrix опубликовала в воскресенье 28 сентября [[2]](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/). Генеральный директор watchTowr Бен Харрис, как цитируется, говорит, что в тот период клиенты получали предупреждения по неофициальным каналам [[2]](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/).

Mandiant описывает цепочку атаки, в которой искажённые заголовки записей DTLS приводят к повреждению кучи и выполнению кода с правами root. После этого злоумышленники закреплялись в конфигурации веб-сервера устройства и разворачивали два инструмента, которые Mandiant называет WHIPSHOT — веб-шелл на PHP — и SLAPSHOT — прокси на Python для туннелирования трафика [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances). CyberScoop добавляет, что Чарльз Кармакал из Mandiant сказал: Mandiant известно о десятках затронутых организаций, и в ближайшее время она ожидает широкой оппортунистической эксплуатации. Среди затронутых секторов — государственный, финансовые услуги, образование, телекоммуникации, юридические и профессиональные услуги в Северной Америке и Европе [[1]](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/).

CyberScoop сообщает, что Palo Alto Networks выявила более 50 000 общедоступных уязвимых экземпляров по состоянию на воскресенье, а CISA добавила обе уязвимости в свой каталог известных эксплуатируемых уязвимостей. Это пятая запись о Citrix в 2026 году и 26-я с конца 2021 года [[2]](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/).

> FireAI — межсетевой экран для macOS от HisnLabs, работающий прямо на устройстве, — показывает, какое приложение на Mac к какому серверу подключается, в том числе VPN-клиент, обращающийся к шлюзу офиса. Доступен 17-дневный пробный период. [Download FireAI for Mac](https://hisnlabs.com/en/download)

## Выводы для небольших офисов и удалённых сотрудников

Уязвимый компонент — устройство, а не ноутбук за ним. Человек, подключающийся через шлюз NetScaler, не может его обновить и не может со стороны клиента понять, обновлён ли он. Mandiant называет среди того, что нужно сменить после компрометации, учётные данные, хранящиеся на устройстве или проходящие через него, в том числе учётные записи привязки LDAP, общие секреты RADIUS и учётные данные TACACS, и советует проверить подчинённую инфраструктуру, такую как хосты StoreFront и Virtual Apps [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances). Для небольшого офиса это превращается в вопросы к тому, кто обслуживает шлюз.

## Рекомендации

1. Спросите у того, кто обслуживает шлюз, — ИТ-провайдера или ИТ-отдела работодателя, — используется ли NetScaler и какая сборка. Исправленные сборки, названные Mandiant и watchTowr, — 14.1-73.37 и 13.1-64.23 или новее, включая их варианты FIPS [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances) [[4]](https://labs.watchtowr.com/here-we-go-again-citrix-netscaler-dtls-preauth-memory-overflow-cve-2026-88772/).
2. Если установка исправлений откладывается, Mandiant перечисляет компенсирующие меры: отключить DTLS, где это возможно, блокировать входящий UDP 443 выше по цепочке и ограничить допустимые адреса источников на периметровом межсетевом экране [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances).
3. После предполагаемой компрометации отзовите активные сеансы администраторов и VPN, а также смените учётные данные и ключи SSH устройства [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances).
4. Считайте пароли, использовавшиеся через шлюз с начала сентября, потенциально раскрытыми, если оператор не может подтвердить, что устройство чистое, и смените их [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances).
5. Не полагайтесь на отсутствие оповещений. Кампания шла как минимум три недели до её подтверждения [[1]](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/).

## Какое отношение это имеет к FireAI

FireAI работает на Mac. Он не обновляет, не сканирует и не отслеживает устройство NetScaler, не видит трафик к шлюзу или внутри него сверх того, что отправляет сам Mac, и не обнаруживает вторжение на сетевом устройстве. Его возможности локальные. [История активности и соединений](https://hisnlabs.com/en/docs/activity-and-connection-history) показывает, какое приложение к какому серверу подключалось, поэтому неожиданное обращение приложения к новому адресу заметно. [Правила](https://hisnlabs.com/en/docs/per-app-rules) могут разрешить VPN-клиенту доступ к шлюзу офиса и больше ни к чему. Если человек подозревает, что учётная запись, используемая с Mac, раскрыта, [аварийный выключатель](https://hisnlabs.com/en/docs/kill-switch) отклоняет новые соединения за пределами домашней или офисной сети, хотя и не закрывает уже открытые.

> Шлюз, который нельзя обновить с ноутбука, всё равно оставляет ноутбук на виду. FireAI показывает каждое приложение, которое выходит в сеть, и спрашивает, прежде чем это сделает неизвестное. Попробуйте бесплатно 17 дней. [Download FireAI for Mac](https://hisnlabs.com/en/download)

## Ограничения

Две статьи CyberScoop — вторичные публикации, и расхождения между ними, например точная дата подтверждения атак, не сверялись. Цифру Palo Alto Networks о 50 000 открытых экземпляров приводит CyberScoop; сам обзор угроз Unit 42 для этого материала получить не удалось. Источники не сообщают, сколько небольших офисов затронуто, был ли среди жертв пользователь Mac и кто эти злоумышленники, помимо описания Mandiant. Цифра в 48 процентов относится к корпоративным атакам такого рода в предыдущем году, как указывает CyberScoop, и не сверялась с исходным исследованием.

Попробуйте [FireAI от HisnLabs](https://hisnlabs.com/en/download) бесплатно 17 дней.

## Sources

- [CyberScoop, 29 September 2026: Attackers exploited Citrix NetScaler flaw for at least three weeks undetected](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/)
- [CyberScoop, September 2026: Citrix patches actively exploited NetScaler flaws after a weekend of unofficial warnings](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/)
- [Mandiant (Google Cloud), 29 September 2026: Defending against active exploitation of Citrix NetScaler ADC and Gateway appliances](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances)
- [watchTowr Labs, 29 September 2026: CVE-2026-88772, Citrix NetScaler DTLS memory overflow](https://labs.watchtowr.com/here-we-go-again-citrix-netscaler-dtls-preauth-memory-overflow-cve-2026-88772/)