Citrix NetScaler, zero-day exploatate: intruziuni în Finlanda

📌 Evoluții ulterioare: NetScaler CVE-2026-107406: SAML IdP vulnerabil și după patch (9 octombrie 2026) · Zero-day NetScaler: malware WHIPSHOT și SLAPSHOT, IoC de căutat (29 septembrie 2026)

Pe 27 septembrie 2026, Citrix a publicat corecții pentru mai multe vulnerabilități din NetScaler ADC și NetScaler Gateway. Două dintre ele, CVE-2026-88771 și CVE-2026-88772, erau deja exploatate înainte ca patch-urile să fie disponibile. În aceeași zi, CISA le-a adăugat în catalogul Known Exploited Vulnerabilities (KEV), cu termen până pe 30 septembrie pentru agențiile federale americane.

În Europa, cazul cel mai bine documentat este cel al Finlandei: Kyberturvallisuuskeskus (NCSC-FI) a primit semnalări despre intruziuni reușite în țară și a emis o alertă, actualizată pe 3 octombrie. NCSC-NL din Țările de Jos a publicat și el un aviz (NCSC-2026-0394) clasificat H/H: probabilitate ridicată și daune ridicate.

Ce s-a întâmplat

Potrivit NCSC-FI, exploatarea a început înainte de 27 septembrie: intruziunile au vizat deci sisteme pentru care nu exista încă o corecție. Agenția finlandeză a identificat în țară sute de instanțe NetScaler expuse și i-a contactat pe cei care le administrează. Canadian Centre for Cyber Security raportează exploatări observate în mai multe medii ale clienților Citrix din întreaga lume și precizează că amploarea reală a activității nu este încă cunoscută.

Cele două agenții sunt de acord asupra unui punct: dacă expui NetScaler pe Internet, trebuie să pornești de la ipoteza că echipamentul ar fi putut fi atacat. Actualizarea nu este suficientă, pentru că un atacator intrat înainte de patch poate să fi lăsat mecanisme de persistență care rămân active și după instalarea noilor versiuni.

Detalii tehnice

• CVE-2026-88771: validare incorectă a datelor de intrare (CWE-20). Permite unui atacator de la distanță, neautentificat, să execute cod arbitrar pe echipament. Potrivit Canadian Centre for Cyber Security, o exploatare reușită poate duce la compromiterea completă a appliance-ului, la acces neautorizat la aplicații și servicii, la furt de credențiale și la mișcare laterală spre sistemele interne.
• CVE-2026-88772: buffer overflow (CWE-119, restricționare incorectă a operațiilor în limitele unui buffer de memorie). Poate provoca execuție de cod arbitrar, coruperea memoriei sau denial of service.
• Buletinul complet: potrivit NCSC-FI, pe 27 septembrie au fost corectate opt CVE, de la CVE-2026-88771 la CVE-2026-88778, cu scoruri CVSS 4.0 între 7.0 și 9.5. Includ execuție de cod de la distanță, HTTP request smuggling, coruperea memoriei și ocolirea unor mecanisme de protecție.
• Versiuni afectate:
  • NetScaler ADC și NetScaler Gateway 14.1 anterioare versiunii 14.1-73.37;
  • NetScaler ADC și NetScaler Gateway 13.1 anterioare versiunii 13.1-64.23;
  • NetScaler ADC 14.1-FIPS anterioare versiunii 14.1-73.37 FIPS;
  • NetScaler ADC 13.1-FIPS și 13.1-NDcPP anterioare versiunii 13.1-37.279.
• Vector: rețea, către echipamentul expus. În MITRE ATT&CK, exploatarea corespunde tehnicii T1190 (Exploit Public-Facing Application).
• Utilizare în campanii ransomware: deocamdată necunoscută, potrivit CISA.

Continuarea: problema SAML

Pe 2 octombrie, Citrix a semnalat o nouă problemă care afectează echipamentele configurate cu autentificare SAML: un atacator de la distanță le poate face instabile, cu denial of service, reporniri repetate și posibile exploatări ulterioare. Canadian Centre for Cyber Security precizează că este o vulnerabilitate distinctă și că versiunile care corectează CVE-2026-88771 și CVE-2026-88772 nu o rezolvă. NCSC-FI subliniază că depinde de configurație și nu afectează toate instalările. Am scris despre ea în articolul despre zero-day-ul NetScaler cu SAML.

Impactul pentru companiile europene și italiene

NetScaler Gateway este folosit de organizații de toate dimensiunile pentru accesul de la distanță al angajaților: un echipament compromis îi oferă atacatorului o poziție privilegiată pe perimetru și o cale spre rețeaua internă. Cazul finlandez arată că atacurile au lovit și organizații europene, chiar înainte să existe un patch.

Pentru entitățile NIS2, compromiterea gateway-ului de acces de la distanță este un incident de evaluat pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN. Același lucru este valabil pentru unitățile sanitare, unde gateway-ul poate deschide accesul de la distanță la sistemele clinice.

Ce faci acum

1. Actualizează: adu toate echipamentele NetScaler ADC și Gateway cel puțin la versiunile 14.1-73.37, 13.1-64.23, 14.1-73.37 FIPS și 13.1-37.279 (13.1-FIPS și 13.1-NDcPP). Dacă folosești SAML, urmează și indicațiile Citrix despre noua problemă și instalează noile build-uri corectate.
2. Păstrează dovezile înainte de a interveni: acolo unde se poate, salvează logurile echipamentului, syslog-urile de la distanță, logurile NetScaler Console și support bundle-urile înainte de a reporni, actualiza sau reconstrui.
3. Caută semne de compromitere: rulează instrumentul Citrix pentru indicatorii de compromitere (IOC) din NetScaler Console. Verifică conturile create, sarcinile programate, serviciile, scripturile de pornire, directoarele aplicațiilor web și dump-urile de crash, precum și procesele și conexiunile active.
4. Extinde investigația: corelează rezultatele cu logurile de firewall, DNS, autentificare și endpoint. Caută conexiuni de ieșire neașteptate, accese administrative neobișnuite și activitate suspectă pe sistemele accesibile din echipament.
5. Dacă suspectezi o compromitere: izolează echipamentul, schimbă parolele administrative, invalidează sesiunile active și înlocuiește certificatele. Pregătește-te să reconstruiești appliance-ul din software de încredere și dintr-o configurație verificată și contactează Citrix.
6. Evaluează expunerea: Canadian Centre for Cyber Security sugerează, dacă analiza de risc o justifică, oprirea temporară a echipamentelor expuse pe Internet, cântărind riscurile față de impactul asupra serviciului.

Cum te ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să găsești rapid gateway-urile de actualizat. ARX Sentry colectează logurile firewall-urilor și ale dispozitivelor de rețea într-un colector central, astfel încât conexiunile anormale și accesele suspecte rămân sub ochii analiștilor. Cu ARX Horizon poți consulta din portal vulnerabilitățile și căuta indicatori de compromitere.

Ultima actualizare: 3 octombrie 2026