Citrix har bekreftet at angripere utnytter to NetScaler zero-days som muliggjør ekstern kjøring av kode. Selskapet har lansert sikkerhetsoppdateringer for berørte NetScaler ADC- og NetScaler Gateway-enheter og oppfordrer administratorer til å oppgradere raskt.
Sårbarhetene, CVE-2026-88771 og CVE-2026-88772, har begge en alvorlighetsgrad på 9,5. Offentliggjøringen følger private advarsler fra sikkerhetsteam, IT-leverandører og cybersikkerhetsmyndigheter i løpet av helgen.
To kritiske feil muliggjør ekstern kjøring av kode
CVE-2026-88771 skyldes feilaktig validering av inndata. Den gjør det mulig for en angriper å kjøre vilkårlige kommandoer uten autentisering.
Ifølge Citrix påvirker sårbarheten alle NetScaler ADC- og NetScaler Gateway-installasjoner som kjører sårbare versjoner, inkludert standardkonfigurasjoner. Den krever ingen tilleggsfunksjoner.
Samtidig innebærer CVE-2026-88772 en minneoverflyt som kan føre til ekstern kjøring av kode eller tjenestenekt.
Angripere kan utnytte denne andre feilen når DTLS er aktivert. Citrix påpeker at virtuelle VPN-servere aktiverer DTLS som standard.
Selskapet bekreftet at angripere utnyttet begge sårbarhetene før sikkerhetsoppdateringene ble tilgjengelige.
NetScaler zero-days setter enheter ved nettverksgrensen i fare
Organisasjoner bruker ofte NetScaler-enheter for ekstern tilgang og levering av applikasjoner. Disse enhetene er ofte eksponert mot internett og gir tilgang til interne bedriftsressurser.
Dermed kan en kompromittert enhet gi angripere et første fotfeste ved nettverksgrensen. Den kan også gi en vei videre til interne systemer.
Før Citrix publiserte sikkerhetsvarselet sitt, rapporterte administratorer at de mottok hastesamtaler fra leverandører og sikkerhetsteam. Noen sa at disse kontaktene rådet dem til å slå av NetScaler-enhetene umiddelbart.
Sikkerhetsselskapet watchTowr publiserte deretter en offentlig advarsel etter å ha kontrollert rapporter om flere upatchede sårbarheter med kilder selskapet anså som autoritative.
Citrix lister berørte versjoner og sikkerhetsoppdateringer
Citrix» sikkerhetsbulletin identifiserer følgende berørte versjoner:
- NetScaler ADC og NetScaler Gateway 14.1 før 14.1-73.37.
- NetScaler ADC og NetScaler Gateway 13.1 før 13.1-64.23.
- NetScaler ADC FIPS før 14.1-73.37 FIPS.
- NetScaler ADC FIPS og NDcPP før 13.1-37.279.
Secure Private Access Hybrid-installasjoner som bruker NetScaler-instanser, krever også oppgraderinger til de anbefalte versjonene.
Bulletinen gjelder enheter som administreres av kundene. Samtidig oppgraderer Cloud Software Group Citrix-administrerte skytjenester og Adaptive Authentication.
I tillegg til de to aktivt utnyttede feilene retter oppdateringene seks andre sårbarheter.
Nederlandsk myndighet skal ha sendt ut forhåndsvarsel
Kopier av en melding som sirkulerer på nettet, tyder på at Nederlands National Cyber Security Center advarte organisasjoner før Citrix offentliggjorde informasjonen.
Ifølge meldingen leverte en europeisk partner-CERT informasjon om to kritiske sårbarheter. Hver av dem kunne uavhengig muliggjøre ekstern kjøring av kode.
Meldingen opplyste også at Citrix oppdaget feilene under etterforskningen av hendelser som rammet kunder. Den beskrev utnyttelse hos flere kundeorganisasjoner over hele verden, selv om omfanget av angrepene fortsatt var uklart.
Den nederlandske myndigheten ville imidlertid ikke bekrefte ektheten til meldingen som sirkulerte da BleepingComputer kontaktet den. Den sa at den ikke kunne gi ytterligere informasjon utenfor sin målgruppe.
Administratorer oppfordres til å oppgradere raskt
Nå som sikkerhetsoppdateringene er tilgjengelige, bør administratorer oppgradere berørte enheter så snart som mulig.
Organisasjoner som ikke kan installere oppdateringene umiddelbart, bør redusere eksponeringen mot internett der det er praktisk mulig frem til de kan installere oppdateringene.
Forhåndsadvarslene fremhevet mulig nedetid under oppgraderingen. Berørte team bør derfor forberede seg på tjenesteavbrudd samtidig som de prioriterer sikkerhetsoppdateringene.
0 responses to “Citrix bekrefter at to NetScaler zero-days utnyttes aktivt”