Šta se desilo?

Citrix je 27. septembra 2026. objavio bezbednosni bilten za osam ranjivosti u NetScaler ADC i NetScaler Gateway proizvodima. Proizvođač je potvrdio napade koji koriste CVE-2026-88771 i CVE-2026-88772 na nezaštićenim uređajima. CISA je istog dana obe ranjivosti uvrstila u KEV katalog.

Koga pogađa?

Bilten se odnosi na uređaje kojima upravljaju korisničke organizacije:

  • NetScaler ADC i Gateway 14.1 pre 14.1-73.37;
  • NetScaler ADC i Gateway 13.1 pre 13.1-64.23;
  • NetScaler ADC 14.1 FIPS pre 14.1-73.37 FIPS;
  • NetScaler ADC 13.1 FIPS i NDcPP pre 13.1-37.279.

Obuhvaćene su i NetScaler instance u Secure Private Access Hybrid okruženjima. Usluge u oblaku kojima upravlja Citrix ažurira proizvođač.

Kako se zaštititi?

  • Hitno instalirajte odgovarajuću ispravljenu verziju ili novije podržano izdanje u istoj grani.
  • Pre ažuriranja prikupite relevantne logove i forenzičke podatke: ažuriranje može ukloniti dokaze potrebne za istragu.
  • Proverite ranije izložene uređaje prema indikatorima kompromitovanja iz Citrix uputstva. Zakrpa sama ne dokazuje da prethodnog kompromitovanja nije bilo.
  • Za CVE-2026-88778 primenite i dodatnu TCP konfiguraciju za Enhanced ISN Generation prema uputstvu proizvođača.
  • Ako otkrijete znake napada, uključite tim za odgovor na incidente i sačuvajte dokaze pre sanacije.

Tehnički detalji

Citrix za obe aktivno iskorišćavane ranjivosti navodi kritičnu ocenu 9,5 po CVSS 4.0. CVE-2026-88771 je nepravilna validacija ulaza koja omogućava izvršavanje proizvoljnih komandi bez autentifikacije; dodatne funkcije ne moraju biti uključene.

CVE-2026-88772 je greška u ograničavanju operacija unutar memorijskog bafera koja može omogućiti udaljeno izvršavanje koda ili uskraćivanje usluge. Zahteva uključen DTLS, koji je podrazumevano omogućen na VPN virtuelnom serveru. Isključivanje DTLS-a ne rešava CVE-2026-88771.

Bilten obrađuje i šest drugih ranjivosti, od krijumčarenja HTTP zahteva i zaobilaženja pravila do memorijskih grešaka i predvidivih TCP početnih sekvencijalnih brojeva. Za poslednji problem, CVE-2026-88778, proizvođač izričito traži dodatnu promenu konfiguracije.

Zašto je važno?

Uređaji za udaljeni pristup i isporuku aplikacija nalaze se na važnoj granici poslovne mreže. Potvrđena eksploatacija zahteva brzo ažuriranje i proveru mogućeg prethodnog kompromitovanja. Uvrštavanje u KEV nije dokaz da je svaka organizacija sa ranjivim uređajem pretrpela napad.

Preporuka Sajber Radara

Popišite NetScaler instance, proverite verzije i konfiguraciju i sprovedite hitnu nadogradnju uz očuvanje dokaza. Obradite sve stavke biltena, uključujući dodatnu TCP konfiguraciju, i dokumentujte rezultate provere kompromitovanja.