Două vulnerabilități critice din Citrix NetScaler, echipamentele prin care mii de companii și instituții își asigură accesul de la distanță, au fost exploatate în atacuri înainte să existe vreo remediere. Citrix a confirmat breșele și a publicat actualizările pe 27 septembrie, în timp ce mai multe agenții naționale de securitate cibernetică le recomandau clienților să-și oprească echipamentele. Ambele breșe au scorul de severitate 9,5 din 10.
Ce este NetScaler și de ce contează
NetScaler ADC și NetScaler Gateway sunt echipamente de rețea puse la marginea infrastructurii unei organizații. Ele distribuie traficul între servere și oferă angajaților acces de la distanță, de tip VPN, la aplicațiile interne. Tocmai poziția lor, expusă direct la internet și cu acces spre rețeaua internă, le face o țintă preferată. Nu e prima dată: CISA, agenția americană de securitate cibernetică, a semnalat 26 de vulnerabilități Citrix exploatate activ din noiembrie 2021 încoace.
Cele două breșe
| CVE-2026-88771 | CVE-2026-88772 | |
|---|---|---|
| Tip | Validare incorectă a datelor de intrare | Depășire de memorie |
| Efect | Executare de comenzi de la distanță, fără autentificare | Executare de cod de la distanță sau blocarea echipamentului |
| Condiție | Niciuna: afectează și configurația implicită | DTLS activat (implicit pe serverele virtuale VPN) |
| Severitate | 9,5 din 10 | 9,5 din 10 |
| Dificultatea atacului | Scăzută, potrivit Rapid7 | Mai ridicată |
Prima breșă e cea mai periculoasă. Compania de securitate Rapid7 avertizează că, fiind ușor de exploatat, executarea de cod de la distanță e probabilă pe toate echipamentele vulnerabile.
Cronologia atacurilor
| Data | Ce s-a întâmplat |
|---|---|
| Începutul lui septembrie | Primele atacuri, potrivit analizelor Mandiant (Google) |
| 24 septembrie | Firma GreyNoise detectează tentative de exploatare |
| 26 septembrie | watchTowr semnalează public zvonuri despre breșe nereparate, exploatate activ; în aceeași perioadă, agenții naționale le recomandă clienților Citrix oprirea echipamentelor |
| 27 septembrie | Citrix confirmă breșele și publică actualizări pentru 8 vulnerabilități, inclusiv cele două; CISA le adaugă în catalogul vulnerabilităților exploatate activ |
| 30 septembrie | Termenul-limită impus de CISA agențiilor federale americane pentru securizarea echipamentelor |
Ce au făcut atacatorii după ce au intrat
Mandiant, GreyNoise și watchTowr au descris un atac bine pus la punct. Trimițând anteturi de date malformate sau fragmentate, atacatorii au corupt memoria echipamentului și au obținut drepturi de administrator (root) pe sistemul de operare FreeBSD din spatele NetScaler. Apoi au instalat:
- web shell-uri PHP personalizate, deghizate în fișiere legitime, pentru control de la distanță;
- WHIPSHOT, un proxy PHP deghizat în pachete Debian;
- SLAPSHOT, o unealtă Python de tunelare prin care s-au putut deplasa în rețeaua internă;
- modificări ale permisiunilor și ale configurației serverului web, pentru acces permanent.
Printre victime se află organizații guvernamentale, financiare, educaționale, juridice și de servicii profesionale din America de Nord și Europa. Centrul național de securitate cibernetică al Olandei a confirmat exploatarea „la mai mulți clienți Citrix din întreaga lume”. Atacatorii nu au fost încă identificați public.
Câte echipamente sunt expuse
Estimările diferă mult. Organizația Shadowserver urmărește aproximativ 23.000 de echipamente NetScaler accesibile de pe internet, circa 22.000 ADC și peste 1.500 Gateway, fără să poată deosebi însă sistemele deja actualizate. Palo Alto Networks a identificat 50.277 de instanțe expuse care ar putea fi vulnerabile. Diferența ține de metodele de numărare, dar ordinul de mărime e clar: zeci de mii de organizații trebuie să acționeze urgent.
Ce trebuie să facă administratorii
- Actualizează imediat, în afara ciclului obișnuit de actualizări: NetScaler ADC/Gateway 14.1-73.37 sau mai nou și 13.1-64.23 sau mai nou, plus variantele FIPS corespunzătoare, conform buletinului Citrix CTX697096.
- Versiunile 12.1 și 13.0 nu mai primesc actualizări. Echipamentele care le rulează trebuie migrate pe o versiune suportată.
- Dacă nu poți actualiza pe loc, redu expunerea la internet a echipamentului cât se poate de mult.
- Actualizarea nu scoate un atacator deja intrat. Verifică existența web shell-urilor și a modificărilor de configurație, caută sesiuni de administrare suspecte și trafic neobișnuit spre exterior.
- Păstrează dovezile (loguri, capturi ale sistemului) înainte de curățare și schimbă toate credențialele care au trecut prin echipament.
Concluzie
Tiparul e cunoscut: echipamentele de la marginea rețelei, gândite să protejeze accesul, devin cea mai simplă cale de intrare atunci când au o breșă. În acest caz, atacatorii au avut aproape o lună de avans față de remediere. Pentru organizațiile care folosesc NetScaler, inclusiv cele din România, prioritatea nu e doar actualizarea, ci și verificarea: dacă echipamentul a fost expus în septembrie, trebuie tratat ca potențial compromis până la proba contrarie.
Informațiile provin din relatările BleepingComputer și The Hacker News, care citează buletinul de securitate Citrix, precum și din analizele Rapid7 și Unit 42 (Palo Alto Networks) din 27–29 septembrie 2026. Detaliile despre uneltele atacatorilor provin din BleepingComputer, care citează Mandiant, GreyNoise și watchTowr.
Fii primul care comentează acest articol!