Citrix NetScaler čelí útokům přes dvě kritické chyby

Od začátku září útočníci zneužívají chyby CVE-2026-88771 a CVE-2026-88772 v Citrix NetScaler ADC a NetScaler Gateway. Útoky zasáhly státní správu, finanční instituce, školy a firmy poskytující profesní služby v Severní Americe a Evropě.

Společnost Citrix zveřejnila informace o osmi souvisejících zranitelnostech až v neděli, kdy už útoky probíhaly. Obě zneužívané chyby mají skóre závažnosti 9,5 z 10. CVE-2026-88771 umožňuje neověřenému útočníkovi vzdáleně spouštět příkazy. CVE-2026-88772 může při zapnutém protokolu DTLS způsobit spuštění kódu nebo výpadek. DTLS je na virtuálních serverech VPN ve výchozím nastavení zapnutý.

Výzkumníci z Google Threat Intelligence Group a Mandiantu po průniku objevili dosud neznámé škodlivé programy WHIPSHOT a SLAPSHOT. WHIPSHOT umožňuje ovládat napadený server, skrývá se jako balíček Debian a přenáší příkazy v hlavičkách HTTP. SLAPSHOT vytváří tunel do vnitřní sítě a předává provoz k dalším počítačům.

Nejméně v jednom případě útočník tento přístup využil k ručnímu průzkumu sítě a krádeži přihlašovacích údajů. Pomocí malwaru si může udržet správcovský přístup i po prvním průniku.

Kdo za kampaní stojí, není veřejně známo. Citrix neodpověděla na otázky o rozsahu útoků ani o důvodu pozdního oznámení. Google neuvedl počet pokusů ani potvrzených průniků.

Bezpečnostní specialisté doporučují před instalací aktualizací nejprve hledat známky napadení. Samotná oprava zranitelnosti nemusí odstranit útočníka, který už do sítě pronikl. Podezřelé soubory a webové škodlivé programy je vhodné zachovat pro další vyšetřování.

U zařízení Citrix NetScaler ADC a NetScaler Gateway, která chrání vstup do firemní sítě, nestačí ověřit instalaci aktualizace. Kampaň začala před zveřejněním chyb, proto má kontrola případného staršího průniku stejnou prioritu jako samotná oprava.