Citrix har bekräftat att angripare utnyttjar två NetScaler zero-days som möjliggör fjärrkörning av kod. Företaget har släppt säkerhetsuppdateringar för berörda NetScaler ADC- och NetScaler Gateway-enheter och uppmanar administratörer att uppgradera snarast.
Sårbarheterna, CVE-2026-88771 och CVE-2026-88772, har båda en allvarlighetsgrad på 9,5. Informationen om dem följer på privata varningar från säkerhetsteam, IT-leverantörer och cybersäkerhetsmyndigheter under helgen.
Två kritiska brister möjliggör fjärrkörning av kod
CVE-2026-88771 beror på felaktig validering av indata. Den gör det möjligt för en angripare att köra godtyckliga kommandon utan autentisering.
Enligt Citrix påverkar sårbarheten alla NetScaler ADC- och NetScaler Gateway-installationer som kör sårbara versioner, inklusive standardkonfigurationer. Den kräver inga ytterligare funktioner.
Samtidigt omfattar CVE-2026-88772 ett minnesöverflöde som kan orsaka fjärrkörning av kod eller överbelastningsattacker.
Angripare kan utnyttja den andra bristen när DTLS är aktiverat. Citrix noterar att VPN-virtuella servrar aktiverar DTLS som standard.
Företaget bekräftade att angripare utnyttjade båda sårbarheterna innan korrigeringar blev tillgängliga.
NetScaler zero-days utsätter enheter vid nätverkets gräns för risk
Organisationer använder ofta NetScaler-enheter för fjärråtkomst och leverans av applikationer. Dessa enheter är ofta exponerade mot internet och ger anslutningar till interna företagsresurser.
Därför kan en komprometterad enhet ge angripare ett första fotfäste vid nätverkets gräns. Den kan också ge en väg till interna system.
Innan Citrix publicerade sin säkerhetsrådgivning rapporterade administratörer att de fått brådskande samtal från leverantörer och säkerhetsteam. Vissa uppgav att dessa kontakter rådde dem att omedelbart stänga av sina NetScaler-enheter.
Säkerhetsföretaget watchTowr utfärdade därefter en offentlig varning efter att ha kontrollerat rapporter om flera opatchade sårbarheter med källor som företaget ansåg vara tillförlitliga.
Citrix listar berörda versioner och säkerhetsuppdateringar
Citrix säkerhetsbulletin identifierar följande berörda versioner:
- NetScaler ADC och NetScaler Gateway 14.1 före 14.1-73.37.
- NetScaler ADC och NetScaler Gateway 13.1 före 13.1-64.23.
- NetScaler ADC FIPS före 14.1-73.37 FIPS.
- NetScaler ADC FIPS och NDcPP före 13.1-37.279.
Secure Private Access Hybrid-installationer som använder NetScaler-instanser kräver också uppgraderingar till de rekommenderade versionerna.
Bulletinen gäller enheter som kunderna själva hanterar. Samtidigt uppgraderar Cloud Software Group Citrix-hanterade molntjänster och Adaptive Authentication.
Utöver de två aktivt utnyttjade bristerna åtgärdar uppdateringarna ytterligare sex sårbarheter.
Nederländsk myndighet ska ha utfärdat en förhandsvarning
Kopior av ett meddelande som cirkulerar på nätet tyder på att Nederländernas National Cyber Security Center varnade organisationer före Citrix offentliga tillkännagivande.
Enligt meddelandet tillhandahöll en europeisk partner-CERT information om två kritiska sårbarheter. Var och en av dem kunde självständigt möjliggöra fjärrkörning av kod.
Meddelandet uppgav också att Citrix upptäckte bristerna under en utredning av incidenter som drabbat kunder. Det beskrev exploatering hos flera kundorganisationer världen över, även om attackernas omfattning fortfarande var oklar.
Den nederländska myndigheten ville dock inte bekräfta äktheten hos det cirkulerande meddelandet när BleepingComputer kontaktade den. Myndigheten uppgav att den inte kunde lämna ytterligare information utanför sin målgrupp.
Administratörer uppmanas att uppgradera snarast
När korrigeringarna nu finns tillgängliga bör administratörer uppgradera berörda enheter så snart som möjligt.
Organisationer som inte omedelbart kan installera uppdateringarna bör minska exponeringen mot internet där det är praktiskt möjligt tills de kan installera korrigeringarna.
Förhandsvarningarna lyfte fram potentiell driftstopp under uppgraderingen. Därför bör berörda team förbereda sig på tjänsteavbrott samtidigt som de prioriterar säkerhetsuppdateringarna.
0 svar till ”Citrix bekräftar att två NetScaler zero-days utnyttjas aktivt”