Citrix har bekræftet, at angribere udnytter to NetScaler zero-days, der muliggør fjernkørsel af kode. Virksomheden har udgivet sikkerhedsopdateringer til berørte NetScaler ADC- og NetScaler Gateway-enheder og opfordrer administratorer til at opgradere hurtigst muligt.
Sårbarhederne, CVE-2026-88771 og CVE-2026-88772, har hver en alvorlighedsscore på 9,5. Offentliggørelsen følger private advarsler fra sikkerhedsteams, IT-udbydere og cybersikkerhedsmyndigheder i løbet af weekenden.
To kritiske fejl muliggør fjernkørsel af kode
CVE-2026-88771 skyldes forkert validering af input. Den gør det muligt for en angriber at køre vilkårlige kommandoer uden godkendelse.
Ifølge Citrix påvirker sårbarheden alle NetScaler ADC- og NetScaler Gateway-installationer, der kører sårbare versioner, herunder standardkonfigurationer. Den kræver ingen yderligere funktioner.
Samtidig involverer CVE-2026-88772 et hukommelsesoverløb, der kan føre til fjernkørsel af kode eller tjenestenægt.
Angribere kan udnytte denne anden fejl, når DTLS er aktiveret. Citrix bemærker, at virtuelle VPN-servere aktiverer DTLS som standard.
Virksomheden bekræftede, at angribere udnyttede begge sårbarheder, før rettelser blev tilgængelige.
NetScaler zero-days udsætter enheder ved netværksgrænsen for risiko
Organisationer bruger ofte NetScaler-enheder til fjernadgang og levering af applikationer. Disse enheder er ofte eksponeret mod internettet og giver adgang til interne virksomhedsressourcer.
Derfor kan en kompromitteret enhed give angribere et første fodfæste ved netværksgrænsen. Den kan også give en vej videre til interne systemer.
Før Citrix offentliggjorde sin sikkerhedsmeddelelse, rapporterede administratorer, at de modtog hastende opkald fra leverandører og sikkerhedsteams. Nogle sagde, at disse kontakter rådede dem til straks at lukke deres NetScaler-enheder ned.
Sikkerhedsvirksomheden watchTowr udsendte efterfølgende en offentlig advarsel efter at have kontrolleret rapporter om flere ikke-patchede sårbarheder med kilder, som virksomheden anså for autoritative.
Citrix oplister berørte versioner og sikkerhedsopdateringer
Citrix’ sikkerhedsbulletin identificerer følgende berørte versioner:
- NetScaler ADC og NetScaler Gateway 14.1 før 14.1-73.37.
- NetScaler ADC og NetScaler Gateway 13.1 før 13.1-64.23.
- NetScaler ADC FIPS før 14.1-73.37 FIPS.
- NetScaler ADC FIPS og NDcPP før 13.1-37.279.
Secure Private Access Hybrid-installationer, der bruger NetScaler-instanser, kræver også opgraderinger til de anbefalede versioner.
Bulletinen gælder enheder, som kunderne selv administrerer. Samtidig opgraderer Cloud Software Group Citrix-administrerede cloudtjenester og Adaptive Authentication.
Ud over de to aktivt udnyttede fejl retter opdateringerne seks andre sårbarheder.
Hollandsk myndighed skal have udsendt en forhåndsadvarsel
Kopier af en meddelelse, der cirkulerer online, tyder på, at det hollandske National Cyber Security Center advarede organisationer før Citrix’ offentlige offentliggørelse.
Ifølge meddelelsen leverede en europæisk partner-CERT oplysninger om to kritiske sårbarheder. Hver af dem kunne uafhængigt muliggøre fjernkørsel af kode.
Meddelelsen sagde også, at Citrix opdagede fejlene under en undersøgelse af hændelser, der påvirkede kunder. Den beskrev udnyttelse hos flere kundeorganisationer verden over, selv om omfanget af angrebene fortsat var uklart.
Den hollandske myndighed ville dog ikke bekræfte ægtheden af den cirkulerende meddelelse, da BleepingComputer kontaktede den. Den oplyste, at den ikke kunne give yderligere oplysninger uden for sin målgruppe.
Administratorer opfordres til at opgradere hurtigst muligt
Nu hvor rettelserne er tilgængelige, bør administratorer opgradere berørte enheder så hurtigt som muligt.
Organisationer, der ikke straks kan installere opdateringerne, bør reducere eksponeringen mod internettet, hvor det er praktisk muligt, indtil de kan installere rettelserne.
Forhåndsadvarslerne fremhævede potentiel nedetid under opgraderingen. Derfor bør berørte teams forberede sig på tjenesteafbrydelser, samtidig med at de prioriterer sikkerhedsopdateringerne.
0 svar til “Citrix bekræfter, at to NetScaler zero-days udnyttes aktivt”