27 сентября 2026 года Citrix раскрыла уязвимость CVE-2026-88771 в NetScaler Application Delivery Controller и NetScaler Gateway. Это контроллеры доставки приложений и шлюзы удалённого доступа, через которые сотрудники компаний подключаются к рабочим ресурсам. Атаковали те экземпляры, где исправления ещё не установили, - Citrix подтвердила эксплуатацию на незащищённых устройствах. Затем Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло CVE-2026-88771 в каталог известных эксплуатируемых уязвимостей. Поводом стали сообщения об атаках по всему миру.
Описание
Проблема позволяет выполнять на устройстве произвольные команды без учётных данных. Включать дополнительные функции не требуется: под удар попадают конфигурации по умолчанию. Национальная база уязвимостей США (NVD) поставила 9.8 балла по шкале CVSS v3.1, сама Citrix - 9.5 по CVSS v4.0. Для бизнеса это прямой риск проникновения в корпоративную сеть: такие шлюзы стоят на границе периметра и видят внутренние сервисы.
По наблюдениям Zscaler ThreatLabz, атака шла в несколько этапов. Сначала злоумышленники подменяли записи в журналах, затем выполняли команды до проверки подлинности, определяли версию и сборку устройства и пытались закрепиться с помощью нескольких веб-оболочек - инструментов удалённого управления через браузер.
Механика опирается на доверие к собственным журналам. Атакующий обращается к типовым страницам портала и прячет в служебном поле клиента длинную закодированную полезную нагрузку. Она попадает в журнал обращений, но не исполняется. Вторым шагом на страницу входа уходит запись, замаскированная под сообщение о сбое внутреннего процесса обработки пакетов. Внутри - команды: найти в журнале условную метку, вытащить спрятанный код, раскодировать и передать оболочке.
Через некоторое время срабатывает штатный служебный сценарий обслуживания. Он ищет в журналах записи о сбоях того же процесса и берёт последнюю подходящую строку. Строка попадает в системную команду без экранирования, поэтому встроенный фрагмент получает права служебного сценария. Аналитики CERT-EU и Unit 42 независимо описали ту же схему.
Как шла кампания
Активность развивалась волнами. Один из всплесков уложился в шесть-семь минут и охватил не менее 26 адресов источников. Каждый отправлял поддельную запись о сбое вместе с командой загрузки 64-битной программы для FreeBSD. Программа написана на Rust, то есть собрана под конкретную платформу устройства.
Параллельно злоумышленники проверяли разведку. В доступных из веба каталогах создавались страницы с отметкой, куда подставлялись имя пользователя, версия системы и имя хоста. Такой файл работал маячком: его содержимое владелец инфраструктуры мог прочитать позже. Ещё одна ветка включала правку конфигурации веб-сервера - интерпретатор PHP и обработчик Perl-сценариев включались принудительно, после чего веб-оболочка принимала команды через строку запроса.
Тот же сервер доставки встречался в атаках на уязвимость CVE-2026-75650 в Adobe Commerce и Magento Open Source. Совпадение даёт след для расследования, но не доказывает единого оператора. Общую инфраструктуру могут арендовать разные группы, а сервер могли просто взломать и переиспользовать. Уязвимость в Adobe получила 10.0 баллов по CVSS v3.1 и тоже применялась в реальных атаках.
Отдельная тема - вторая уязвимость Citrix, CVE-2026-107406. Она ведёт к выполнению кода или отказу в обслуживании. Под удар попадают устройства, настроенные как поставщик или потребитель SAML (протокол единого входа). Набор уязвимых конфигураций зависит от версии программного обеспечения.
Что делать с устройствами
Первый шаг - инвентаризация. Нужно перечислить все экземпляры, записать версии и сборки, отметить те, что доступны из интернета. Исправления вышли в ветках 14.1 и 13.1, включая варианты FIPS и NDcPP.
Перед установкой обновлений стоит сохранить доказательства. CISA предупреждает: исправления могут стереть следы, поэтому сначала снимают снимок виртуальной машины, собирают данные удалённого системного журнала и диагностический пакет.
Дальше - поиск признаков компрометации. Проверяют неожиданные дочерние процессы, изменения в стартовом сценарии устройства, свежие файлы в каталогах веб-интерфейса, лишние открытые порты и исходящие соединения с незнакомыми адресами. В журналах ищут поддельные сообщения о сбоях со встроенными командами. Если признаки подтвердились, устройство выводят из недоверенных сетей и меняют все учётные данные, токены и сертификаты, к которым оно имело доступ.
Полной мерой остаётся обновление. До его установки доступ к панели управления и порталу имеет смысл ограничить, хотя это лишь снижает вероятность атаки. Проверять журналы нужно и там, где следов взлома пока не нашли: записи о сбоях мог перезаписать сам сценарий обслуживания.
Индикаторы компрометации
