CyberScoop повідомив 29 вересня 2026 року, що зловмисники експлуатували вразливість в апаратах Citrix NetScaler щонайменше три тижні до її підтвердження, а найраніша відома експлуатація датується 3 вересня. Mandiant приписує кампанію просунутим і, імовірно, державним акторам, а Citrix випустила в неділю 28 вересня виправлення для обох вразливостей і ще шести дефектів [1] [3]. Публікації стосуються організацій, але ті самі шлюзи стоять перед невеликими офісами та віддаленими працівниками.
Передумови
NetScaler ADC і NetScaler Gateway — це апарати, що стоять на краю мережі й обробляють віддалений доступ та доставку трафіку, тому за задумом вони досяжні з інтернету. CyberScoop зазначає, що периметрові пристрої становили 48 відсотків корпоративних атак такого роду минулого року і що зазвичай вони не охоплені моніторингом виявлення загроз на кінцевих точках [1]. Офіс, який отримує доступ до своїх файлів чи застосунків через VPN NetScaler, незалежно від того, чи керує апаратом сам, чи постачальник від його імені, залежить від того, чи пристрій оновлено.
Результати
Названо дві вразливості: CVE-2026-88772 і CVE-2026-88771. CyberScoop описує другу як вразливість ін’єкції команд і повідомляє, що обидві мають оцінку 9,5 за шкалою CVSS і дозволяють віддалене виконання коду на пристроях NetScaler ADC і Gateway у типових конфігураціях [2]. Аналіз watchTowr щодо CVE-2026-88772 описує переповнення пам’яті під час обробки фрагментованих повідомлень рукостискання DTLS. DTLS увімкнено за замовчуванням для віртуальних серверів VPN, а щоб уникнути вразливості, адміністратор мав явно його вимкнути [4].
За даними CyberScoop, GreyNoise зафіксувала невдалу спробу експлуатації 24 вересня, а попередження поширювалися неофіційними каналами впродовж вихідних, поки Citrix публічно мовчала; Citrix опублікувала своє попередження в неділю 28 вересня [2]. Генерального директора watchTowr Бена Гарріса (Ben Harris) цитують: клієнти отримували попередження неофіційними каналами в цей період [2].
Mandiant описує ланцюжок атаки, у якому спотворені заголовки записів DTLS призводять до пошкодження купи пам’яті та виконання коду з привілеями root. Після цього зловмисники закріплюються в конфігурації вебсервера апарата й розгортають два інструменти, яким Mandiant дає назви: WHIPSHOT, вебшел на PHP, і SLAPSHOT, проксі на Python для тунелювання трафіку [3]. CyberScoop додає, що Чарльз Кармакал (Charles Carmakal) з Mandiant сказав, що Mandiant знає про десятки уражених організацій і очікує масової та опортуністичної експлуатації найближчим часом. Серед уражених секторів — уряд, фінансові послуги, освіта, телекомунікації, юридичні та професійні послуги в Північній Америці та Європі [1].
CyberScoop повідомляє, що Palo Alto Networks станом на неділю виявила понад 50 000 публічно відкритих вразливих екземплярів, а CISA додала обидві вразливості до свого каталогу відомих експлуатованих вразливостей. Це був п’ятий запис Citrix у 2026 році та 26-й від кінця 2021 року [2].
Наслідки для невеликих офісів і віддалених працівників
Вразливий компонент — це апарат, а не ноутбук за ним. Людина, яка під’єднується через шлюз NetScaler, не може його оновити і не може з боку клієнта визначити, чи його оновлено. Mandiant наводить облікові дані, що зберігаються на апараті або проходять через нього, серед того, що слід змінити після компрометації, зокрема облікові записи прив’язки LDAP, спільні секрети RADIUS і облікові дані TACACS, і радить провести аудит підлеглої інфраструктури, як-от хости StoreFront і Virtual Apps [3]. Для невеликого офісу це перетворюється на запитання до того, хто керує шлюзом.
Рекомендації
- Запитайте в оператора шлюзу, ІТ-постачальника чи ІТ-команди роботодавця, чи він використовує NetScaler і яку збірку. Виправлені збірки, названі Mandiant і watchTowr, — 14.1-73.37 і 13.1-64.23 або новіші, зокрема їхні варіанти FIPS [3] [4].
- Якщо оновлення відкладається, Mandiant перелічує компенсаційні заходи: вимкнення DTLS, де це можливо, блокування вхідного UDP 443 вище за течією та дозволені списки адрес джерел на периметровому брандмауері [3].
- Після підозрюваної компрометації скасуйте активні сесії адміністраторів і VPN та змініть облікові дані й ключі SSH апарата [3].
- Вважайте паролі, використані через шлюз із початку вересня, потенційно викритими, якщо оператор не може підтвердити, що апарат чистий, і змініть їх [3].
- Не покладайтеся на відсутність сповіщень. Кампанія тривала щонайменше три тижні, перш ніж її підтвердили [1].
Стосунок до FireAI
FireAI працює на Mac. Він не оновлює, не сканує й не моніторить апарат NetScaler, не бачить трафіку до шлюзу чи всередині нього понад те, що надсилає сам Mac, і не виявляє вторгнення на мережевому пристрої. Те, що він робить, — локальне. Активність та історія з’єднань показує, який застосунок з яким сервером з’єднувався, тож несподіваний застосунок, що звертається до нової адреси, видно. Правила можуть дозволити клієнтові VPN доступ до шлюзу офісу й більше нічого. Якщо людина підозрює, що обліковий запис, яким користувалися з Mac, було викрито, аварійний вимикач відмовляє в нових з’єднаннях поза домашньою чи офісною мережею, хоча не закриває з’єднань, які вже відкриті.
Обмеження
Дві статті CyberScoop — це вторинні публікації, а деталі, що в них відрізняються, як-от точна дата підтвердження атак, не узгоджували. Цифру Palo Alto Networks про 50 000 відкритих екземплярів цитує CyberScoop; сам аналітичний огляд Unit 42 для цього матеріалу отримати не вдалося. Джерела не вказують, скільки невеликих офісів уражено, чи була якась жертва користувачем Mac і хто такі актори, окрім опису Mandiant. Цифра 48 відсотків стосується корпоративних атак такого роду за попередній рік, як вказує CyberScoop, і її не звіряли з першоджерелом дослідження.
Спробуйте FireAI від HisnLabs безкоштовно 17 днів.