Две zero-day в NetScaler с оценкой CVSS 9,5 уже эксплуатируются в атаках на корпоративные инсталляции Citrix. Проблема неприятна не только для админов NetScaler ADC и Gateway: уязвимости затрагивают стандартные конфигурации, то есть риск начинается ровно там, где у многих компаний заканчивается надежда на «мы ничего экзотического не включали».
Citrix раскрыла две критические уязвимости 27 сентября, сообщает Dark Reading. Первая, CVE-2026-88771, связана с некорректной проверкой входных данных и позволяет удаленное выполнение кода. Вторая, CVE-2026-88772, описана как переполнение памяти; она тоже может привести к удаленному выполнению кода, а также к DDoS-атакам. Обе получили 9,5 балла по CVSS и затрагивают NetScaler Application Delivery Controller и NetScaler Gateway.
Citrix в своем уведомлении подтвердила, что эксплуатация CVE-2026-88771 и CVE-2026-88772 на незащищенных развертываниях уже наблюдалась, и призвала клиентов срочно обновиться. Для корпоративной инфраструктуры это не тот патч, который можно положить в спринт «на потом»: NetScaler часто стоит на периметре, обслуживает доступ к внутренним сервисам и оказывается одной из тех точек, где компрометация быстро превращается из инцидента на одном устройстве в проблему всей сети.
Самый нервный момент в этой истории — не только наличие двух критических багов, а коммуникационный разрыв вокруг них. Первые публичные сигналы появились еще 25 сентября в обсуждении на Reddit: пользователи Citrix писали, что провайдеры и команды безопасности рекомендуют отключать NetScaler-устройства. Там же всплывало приватное предупреждение нидерландского NCSC о возможных атаках на NetScaler, но позже публикацию удалили. По данным Tenable, предупреждение распространялось с ограничениями TLP:AMBER+STRICT, то есть его нельзя было свободно раскидать по интернету.
26 сентября компания watchTowr написала в соцсетях, что реагирует на сведения о нескольких RCE-уязвимостях Citrix NetScaler, которые могут использоваться в реальных атаках. Позже основатель и CEO watchTowr Бенджамин Харрис заявил, что слухи подтверждены авторитетными источниками, и рекомендовал немедленно выводить NetScaler-устройства из онлайна. Citrix раскрыла уязвимости и выпустила исправления на следующий день.
По оценке Харриса, эксплуатация могла начаться минимум за неделю до раскрытия. GreyNoise сообщала, что впервые зафиксировала активность 24 сентября. Google Threat Intelligence Group отдельно указала, что кампания продолжается как минимум с начала сентября, а GTIG и Mandiant обнаружили эксплуатацию CVE-2026-88772 в конце месяца. То есть окно между первыми атаками, тревожными сигналами сообщества и официальным бюллетенем оказалось достаточно длинным, чтобы у клиентов возник классический выбор без хорошего варианта: срочно отключать критичный сетевой компонент или ждать подтверждения от вендора.
Харрис раскритиковал Citrix за молчание на фоне слухов. Его главный аргумент прост: при современных темпах эксплуатации важны часы, не говоря уже о нескольких днях. Это особенно справедливо для устройств на периметре. Если уязвимый сервис смотрит в интернет, атакующему не нужно проходить длинную цепочку фишинга, lateral movement и повышения привилегий. Он начинает с двери, которая уже вынесена наружу.
Масштаб тоже не камерный. Palo Alto Networks сообщала, что ее сканирования выявили более 50 тысяч доступных из интернета экземпляров NetScaler. Не все они обязательно уязвимы или не обновлены, но сама цифра хорошо объясняет, почему вокруг zero-day в NetScaler поднялась паника: это популярный продукт в крупных организациях, включая компании из критической инфраструктуры. Для атакующих такая поверхность похожа на каталог ценных целей, только без красивого интерфейса.
Для разработчиков и платформенных команд здесь есть практический урок, даже если они не администрируют Citrix напрямую. Устройства доставки приложений, VPN-шлюзы и reverse proxy давно перестали быть «железом где-то у сетевиков». Они определяют, какие внутренние сервисы видны снаружи, как проходит аутентификация, где заканчивается TLS и какие логи доступны при расследовании. Когда такая точка ломается, страдают не только сетевые диаграммы, но и релизы, SSO, удаленный доступ, CI/CD-пути и доступность клиентских приложений.
Бизнесу стоит смотреть на этот инцидент не как на очередной бюллетень с высоким CVSS, а как на проверку процесса: кто принимает решение об отключении периметрового компонента, где лежит актуальная инвентаризация, как быстро можно поставить фикс, есть ли временная схема доступа для сотрудников и клиентов. В ситуации с zero-day в NetScaler фраза «мы обновимся в плановое окно» звучит слишком оптимистично, если это окно наступает после того, как сканеры уже нашли ваш адрес.
Главный тренд здесь неприятно устойчив: атакующие все чаще бьют по инфраструктурным продуктам, которые компании считают скучной, но надежной основой. Чем короче становится путь от обнаружения бага до массовой эксплуатации, тем меньше пользы от закрытых предупреждений и разрозненных слухов. Вендорам придется учиться говорить с клиентами быстрее и честнее, а клиентам — заранее решать, какие системы они готовы выключить за час, когда следующий критический баг окажется не в приложении, а в самом входе в сеть.
