Критические уязвимости Citrix в NetScaler ADC и NetScaler Gateway использовали как zero-day еще до публичного раскрытия: под удар попали госструктуры, финансовые компании, образовательные организации, юридический и профессиональный сервисы в Северной Америке и Европе. Для русскоязычных IT-команд это не «чужая западная история», а напоминание: пограничные устройства вроде VPN-шлюзов и ADC остаются одним из самых коротких путей из интернета во внутреннюю сеть.
О кампаниях против Citrix NetScaler сообщает The Register. Citrix раскрыла сразу восемь CVE в воскресенье, 27 сентября 2026 года, но две из них выделяются особенно: CVE-2026-88771 и CVE-2026-88772 получили по 9,5 балла CVSS. Компания признала, что эксплуатация обеих уязвимостей на незащищенных развертываниях NetScaler уже наблюдалась.
CVE-2026-88771 позволяет неаутентифицированному атакующему удаленно выполнять произвольные команды. CVE-2026-88772 связана с переполнением памяти и может привести к удаленному выполнению кода или отказу в обслуживании, если включен DTLS. Неприятная деталь: DTLS включен по умолчанию на VPN virtual servers. То есть риск не спрятан в экзотической настройке, которую включили три энтузиаста после полуночи.
Сроки выглядят особенно токсично. GreyNoise зафиксировала попытку эксплуатации CVE-2026-88771 против Citrix NetScaler Gateway 24 сентября. Google Threat Intelligence Group и Mandiant заявили, что кампания по CVE-2026-88772 идет как минимум с начала сентября. Публичное уведомление от Citrix появилось только 27 сентября. На главный вопрос — почему раскрытие заняло столько времени — компания, по данным издания, не ответила.
Основатель и CEO watchTowr Бенджамин Харрис сказал The Register, что эти уязвимости обнаружили в ходе реагирования на инциденты и форензики в уже скомпрометированных организациях. Иными словами, эксплуатация и осведомленность вендора предшествовали публичному раскрытию. Харрис также напомнил, что у Citrix уже была репутационная проблема с задержками публикации сведений об уязвимостях, даже когда они эксплуатируются «в поле».
Google и Mandiant добавили важную техническую часть: атакующие использовали ранее неизвестный набор инструментов для закрепления и проксирования трафика во внутренние сети. В него входят WHIPSHOT — PHP web shell, замаскированный под Debian-пакет, и SLAPSHOT — TCP-туннель на Python. WHIPSHOT прячет base64-кодированные управляющие payload в обычных HTTP-заголовках и работает как транспортный мост для SLAPSHOT.
SLAPSHOT принимает команды от WHIPSHOT и пересылает произвольные TCP-потоки к внутренним хостам. В наборе команд, по данным исследователей, есть открытие TCP-сокета к нужному хосту и порту, запись данных в сессию, чтение данных из открытого сокета, обмен управляющими данными, закрытие сессии и базовая проверка доступности. В одном из наблюдавшихся инцидентов злоумышленник проксировал через этот канал трафик, вручную проводил разведку внутри сети и занимался кражей учетных данных.
Атрибуции пока нет. Публично не названа ни группировка, ни страна, ни криминальный бренд, который можно было бы повесить на слайд для совета директоров. Харрис осторожно говорит, что по целям пока не видно устойчивого паттерна по отрасли или размеру организаций. Но исторически NetScaler атаковали и государственные группы, и операторы ransomware. Такой продукт слишком удобен: он стоит на краю сети, смотрит в интернет и часто имеет доступ туда, куда обычный endpoint-защитник уже не заглядывает.
Практический вывод для администраторов жесткий: патчить надо срочно, но начинать лучше не с кнопки обновления. CTO Mandiant Consulting Чарльз Кармакал отдельно предупредил клиентов NetScaler: сначала проверьте системы на компрометацию, затем обновляйтесь. Если уже лежат web shell или другие вредоносные файлы, один патч не выгонит атакующего из инфраструктуры. Нужны сохранение доказательств, оценка масштаба компрометации и нормальная зачистка.
Для бизнеса здесь неприятная, но полезная бухгалтерия риска. Edge-устройства — application delivery controllers, VPN-шлюзы, firewall и похожая инфраструктура — давно стали любимой входной дверью атакующих. Google ранее оценивала, что уязвимости в security- и networking-продуктах дали около половины enterprise-related zero-day в 2025 году. Причина проста: такие системы доступны из интернета, часто живут отдельно от привычного endpoint-контроля и при успешной эксплуатации сразу дают атакующему позицию рядом с внутренними сервисами.
NetScaler в этом смысле не новичок. В марте уже эксплуатировали другую критическую уязвимость NetScaler, а годом ранее Citrix раскрывала несколько zero-day в том же продукте. Поэтому свежие уязвимости Citrix — не единичный сбой, а часть более широкого тренда: периметр стал не стеной, а набором сложных appliances с собственными багами, дефолтными режимами и задержками disclosure. Следующий вопрос уже не в том, появится ли новый zero-day в таком классе продуктов, а насколько быстро команды смогут заметить атаку до того, как «обновили и забыли» превратится в дорогую форензику.