Citrix rregullon dobësitë zero-day të NetScaler-it që po shfrytëzohen aktivisht

Citrix ka konfirmuar se dy dobësi kritike të ekzekutimit të kodit në distancë (RCE) në pajisjet e saj NetScaler ADC dhe NetScaler Gateway po sulmohen aktivisht dhe ka publikuar përditësime sigurie për të rregulluar këto defekte, të emërtuara CVE-2026-88771 dhe CVE-2026-88772.

Dobësia e parë, CVE-2026-88771, shkaktohet nga validimi i papërshtatshëm i të dhënave hyrëse dhe i lejon një sulmuesi të paautentikuar të ekzekutojë komanda arbitrare në pajisje. Ajo ka rezultatin maksimal të ashpërsisë 9.5 nga 10. Sipas Citrix-it, kjo dobësi prek të gjitha implementimet e NetScaler ADC dhe NetScaler Gateway, madje edhe ato që funksionojnë në konfigurimet e paracaktuara, dhe nuk kërkon që ndonjë funksionalitet shtesë të jetë i aktivizuar.

Dobësia e dytë, CVE-2026-88772, është një tejmbushje memorie që mund të çojë në ekzekutim kodi në distancë ose në një gjendje mohimi të shërbimit. Ajo gjithashtu ka rezultatin e ashpërsisë 9.5. Shfrytëzimi është i mundur kur DTLS, një protokoll që siguron komunikim të sigurt për shërbimet në kohë reale, është i aktivizuar. Citrix vëren se DTLS është i aktivizuar si parazgjedhje në serverët virtualë VPN, çka do të thotë se shumë instalime janë potencialisht të ekspozuara.

Citrix deklaroi në buletinin e tij të sigurisë CTX697096 se "janë vërejtur shfrytëzime të CVE-2026-88771 dhe CVE-2026-88772 në implementimet e NetScaler-it të parregulluara." Versionet e prekura përfshijnë NetScaler ADC dhe NetScaler Gateway 14.1 përpara 14.1-73.37, 13.1 përpara 13.1-64.23, si dhe disa ndërtime FIPS dhe NDcPP. Në total, përditësimi adreson tetë dobësi, përfshirë dy zero-day-et.

Paralajmërimet rreth shfrytëzimit filluan të qarkullojnë gjatë fundjavës, shumë përpara se Citrix të bënte njoftimin publik. Administratorët në Reddit raportuan se u kontaktuan nga furnitorë IT, ekipe sigurie, forca të rendit dhe agjenci kombëtare të sigurisë kibernetike me udhëzime urgjente për të fikur menjëherë pajisjet e tyre NetScaler. Një administrator shkroi se furnitori i tyre këshilloi fikjen e pajisjeve "menjëherë" pa dhënë detaje të mëtejshme.

Firma e sigurisë kibernetike watchTowr konfirmoi më vonë besueshmërinë e thashethemeve, duke thënë se po "reagonte me shpejtësi ndaj thashethemeve se disa dobësi RCE të parregulluara të Citrix NetScaler po qarkullojnë në natyrë." Qendra Kombëtare e Sigurisë Kibernetike e Holandës (NCSC-NL) raportohet se u dërgoi një para-njoftim organizatave në Holandë, duke paralajmëruar se dy dobësi mund të çonin në mënyrë të pavarur në ekzekutim kodi në distancë. Njoftimi, i parë nga burime të shumta, tregonte se Citrix i zbuloi defektet gjatë hetimit të incidenteve në mjediset e klientëve dhe kishte paraqitur një njoftim sipas Aktit të Rezistencës Kibernetike të Bashkimit Evropian.

Paralajmërimet e hershme kishin për qëllim t'u jepnin organizatave kohë për t'u përgatitur, për të zbatuar masa mbrojtëse dhe për të instaluar rregullimet sapo ato të bëheshin të disponueshme, pasi aplikimi i përmirësimeve të NetScaler-it mund të shkaktojë ndërprerje. NCSC gjithashtu paralajmëroi se përpjekjet për shfrytëzim mund të shtoheshin pasi rregullimet dhe detajet teknike të publikoheshin, dhe se shfrytëzimi ishte identifikuar tashmë në shumë klientë të Citrix-it në mbarë botën.

Për organizatat që menaxhojnë vetë pajisjet e tyre NetScaler, e vetmja rrugë e sigurt përpara është përmirësimi menjëherë në versionet e rregulluara. Ata që nuk mund të rregullojnë menjëherë duhet të kufizojnë ekspozimin në internet të pajisjeve kudo që është e mundur operacionalisht. Duke qenë se pajisjet NetScaler shpesh vendosen në skajin e një rrjeti duke ofruar akses në distancë, një komprometim mund t'u japë sulmuesve një pikëmbështetje të drejtpërdrejtë në sistemet e brendshme të korporatës. Për bizneset pa ekspertizë të brendshme sigurie për të vlerësuar rreziqet e pajisjeve të skajit, konsultimi me një partner IT të fokusuar në siguri si AEU-I mund të ofrojë udhëzimet e nevojshme për të identifikuar dhe zgjidhur dobësi të tilla para se të shfrytëzohen.