Citrix выпустила срочные патчи для устранения уязвимости zero-day в NetScaler

Компания Citrix выпустила экстренные обновления безопасности, направленные на устранение критической уязвимости нулевого дня в устройствах NetScaler, получившей идентификатор CVE-2026-88779. Эта уязвимость уже активно эксплуатируется злоумышленниками в реальных атаках, вызывая отказ в обслуживании (DoS), в то время как профильные эксперты и исследователи проверяют потенциальную возможность удаленного выполнения произвольного кода.

Проблема затрагивает аппаратные шлюзы NetScaler ADC и NetScaler Gateway, задействующие аутентификацию SAML со встроенным функционалом Gateway или AAA. Согласно официальному бюллетеню безопасности Citrix, уровень опасности уязвимости по шкале CVSS составляет 8.7 балла. Нападениям подвергаются незащищенные конфигурации, что приводит к сбоям в доступности сервисов.

Детали инцидентов и проверка оборудования

Как отмечают разработчики, при многократном запуске эксплойта целевая служба остается недоступной, однако анализ компании не выявил следов нарушения целостности конфиденциальных данных клиентов. Для оперативного решения проблемы были выпущены свежие версии ПО NetScaler ADC и NetScaler Gateway 14.1-73.41 и 13.1-64.28. Специальные сборки также подготовлены для FIPS-окружений, включая версию 14.1-73.41 FIPS, а пользователям ветки 13.1 рекомендуется установить релиз 13.1-37.282.

В дополнение к патчам вендор предоставляет глобальные черные списки (Global Deny Lists) для блокировки входящего трафика с подозрительных IP-адресов. Тем не менее, я настоятельно рекомендую выполнить полноценное обновление программного обеспечения как можно скорее. Чтобы проверить уязвимость своего оборудования, администраторам следует убедиться в наличии активных настроек SAML-аутентификации, таких как конфигурации samlAction или samlIdPProfile.

Сложность ситуации заключается в том, что многим организациям, недавно установившим заплатки от прошлых уязвимостей, придется повторно обновлять инфраструктуру. Если развертывание уже было пропатчено от предыдущих багов из диапазона CVE-2026-88771 — CVE-2026-88778, но при этом соблюдаются условия для новой уязвимости, процедуру апдейта потребуется повторить.

Исследования экспертов и угроза удаленного выполнения кода

Несмотря на официальное позиционирование CVE-2026-88779 как дефекта памяти, приводящего исключительно к отказу в обслуживании, независимые исследователи и системные администраторы зафиксировали признаки потенциального удаленного выполнения кода (RCE). Тревожные сообщения начали поступать в конце недели от специалистов, столкнувшихся с неожиданными перезагрузками предварительно обновленных шлюзов.

В профильных сообществах на Reddit администраторы отмечали цикличные принудительные ребуты устройств под управлением версии 14.1-73.37. Фиксировались ситуации, когда системный процесс nsaaad аварийно завершался до тех пор, пока процесс Pitboss не исчерпывал лимит перезапусков и не инициировал общую перезагрузку аппарата. Первоначально специалисты полагали, что речь идет о баге в новых прошивках, провоцируемом средствами сканирования сетей.

Однако последующий глубокий анализ логов на ряде устройств выявил специально сформированные имена пользователей для аутентификации, содержащие командные строки оболочки. Эти вредоносные запросы инициировали загрузку полезной нагрузки со стороннего IP-адреса, ее сохранение в системный каталог /v и последующий запуск. Подобные запросы четко коррелировали с последовательностью падений процесса nsaaad непосредственно перед ребутом.

Реакция экспертного сообщества и Агентства CISA

Известный специалист по кибербезопасности Кевин Бомонт сообщил, что его защищенные «ханипоты» (honeypots) на базе NetScaler версий 13.1 и 14.1 также падали после получения серии запросов с различных IP-адресов. Позже исследователь обнаружил, что одна из ловушек не просто завершала работу, но и успешно выполняла загруженный вредоносный бинарный файл, что указывает на масштабный характер атак по принципу «spray and pray».

Аналитики из компании watchTowr Labs также подтвердили воспроизведение данной уязвимости, хотя технические детали реализации эксперты пока не раскрывают публично. На фоне развивающихся событий Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) внесло CVE-2026-88779 в свой каталог эксплуатируемых уязвимостей, обязав профильные ведомства принять меры защиты в кратчайшие сроки.

Для противодействия современным киберугрозам и атакам, проводящимся на высокой скорости с использованием алгоритмов искусственного интеллекта, специалистам по защите необходимо пересматривать традиционные подходы к мониторингу, своевременно валидировать исправления и выстраивать комплексные архитектурные стратегии безопасности.