Две уязвимости нулевого дня в устройствах Citrix NetScaler позволили злоумышленникам проникнуть в сети организаций раньше, чем производитель выпустил исправления. Под удар попали компании, которые держат шлюзы удалённого доступа открытыми в интернет. 27 сентября 2026 года Citrix опубликовала предупреждение, и вскоре после этого началось массовое сканирование уязвимых систем. Обе бреши получили оценку 9,5 по шкале CVSS версии 4.0. Ущерб не ограничился простоем: на захваченных устройствах атакующие закрепились и сохранили доступ к внутренней сети.
Описание
Первые признаки подготовки появились задолго до публичного раскрытия. По наблюдениям Unit 42, 21 августа неизвестные начали осторожно опрашивать панели управления NetScaler и сверять версии программного обеспечения. За два дня адреса, с которых шли запросы, обратились более чем к сотне систем. Такая разведка помогает отобрать цели, где нужная версия точно уязвима, и не тратить силы на остальные.
Как устроены обе уязвимости
Одна из брешей, CVE-2026-88771, связана с проверкой входных данных. Она открывает путь к удалённому выполнению команд без пароля и учётной записи. Вторая, CVE-2026-88772, кроется в обработке пакетов DTLS - протокола защиты датаграммного трафика (Datagram Transport Layer Security), который применяют в VPN-подключениях. Ошибка при разборе таких пакетов приводит к переполнению памяти. Дальше возможны два исхода: выполнение чужого кода либо отказ в обслуживании.
Первый сценарий атаки опирался как раз на DTLS. На устройство отправляли специально собранный трафик. Устройство разбирало его и повреждало собственную память. В результате на диск попадали файлы, замаскированные под штатные установочные пакеты клиента NetScaler. Внутри лежала веб-оболочка - программа, которая даёт доступ к командной строке устройства через обычный запрос браузера. С 4 по 24 сентября атакующие меняли серверы почти ежедневно, а часть обращений шла через сервис Cloudflare WARP. Одновременно они непрерывно опрашивали служебную страницу, которая выдаёт имя пользователя. Для NetScaler такие обращения нетипичны.
Второй сценарий состоял из трёх шагов. Сначала на устройство уходил запрос, в котором вредоносный текст был спрятан в строке, которой браузер представляется серверу. Устройство отвечало ошибкой, однако текст оседал в журнале доступа. Затем в журнал ошибок через неудачную попытку входа попадала вторая часть данных. Позже встроенная служебная программа разбирала журнал, извлекала добавленный фрагмент и выполняла его как команду оболочки. Так на устройстве появлялась веб-оболочка на PHP.
Восстановленный образец умеет выполнять произвольные команды, отдавать файлы частями и загружать новые. Связь с командно-контрольным сервером (C2-сервером) шифруется, а оператор проходит проверку по кодовой фразе. Маскировка тщательная: файл оболочки выдаёт себя за таблицу стилей, а имена куки повторяют штатные имена NetScaler. Перед запуском код снимает запрет на работу PHP в настройках веб-сервера и мягко перечитывает конфигурацию, не разрывая активные соединения. Записей о перезапуске в журналах не остаётся.
Масштаб проблемы оценивают по числу открытых наружу устройств. На момент публикации предупреждения инструмент Cortex Xpanse от Palo Alto Networks насчитал 50 277 экземпляров, которые могли быть уязвимы. После раскрытия сведения об ошибках подхватили сканеры и сторонние исследователи. Их активность нельзя путать с действиями первых атакующих. Разделение событий до и после публикации помогает не приписать одному злоумышленнику чужие запросы.
Организациям с NetScaler стоит как можно скорее обновиться до последней версии и проверить, подпадает ли их конфигурация под условия уязвимости. Устройства, которые нельзя закрыть немедленно, лучше изолировать от внешней сети. Перед переустановкой имеет смысл сохранить доказательства: снимок виртуального экземпляра, журналы с удалённого сервера и консоли, диагностический пакет для службы поддержки, дамп памяти. Признаками компрометации служат необычные административные сессии, исходящие подключения к неизвестным адресам и провалы в журналировании. Исправление закрывает путь входа, но не удаляет доступ, который злоумышленник уже закрепил внутри сети.
Индикаторы компрометации
