Citrix раскрыла две zero-day в NetScaler ADC и NetScaler Gateway, обе получили 9,5 балла по CVSS 4.0. Злоумышленники начали использовать их до появления исправлений. Первая, CVE-2026-88771, связана с неправильной проверкой входных данных и позволяет выполнять произвольные команды без учётной записи.
Вторая уязвимость, CVE-2026-88772, вызывает переполнение памяти и может привести к удалённому выполнению кода или отказу в обслуживании. Для атаки нужен включённый DTLS, а на виртуальных VPN-серверах NetScaler этот протокол активирован по умолчанию. Поэтому типичная конфигурация корпоративного шлюза уже соответствует условиям эксплуатации.
Обходного решения нет, поэтому Citrix рекомендует обновить устройства до версий 14.1-73.37 или 13.1-64.23 и новее. Для доступных из интернета систем администраторам советуют сначала сохранить журналы и проверить устройство на признаки компрометации. После обновления нужно сменить пароли, секреты и сертификаты, которые могли оказаться в руках атакующих.
Вторая уязвимость, CVE-2026-88772, вызывает переполнение памяти и может привести к удалённому выполнению кода или отказу в обслуживании. Для атаки нужен включённый DTLS, а на виртуальных VPN-серверах NetScaler этот протокол активирован по умолчанию. Поэтому типичная конфигурация корпоративного шлюза уже соответствует условиям эксплуатации.
Обходного решения нет, поэтому Citrix рекомендует обновить устройства до версий 14.1-73.37 или 13.1-64.23 и новее. Для доступных из интернета систем администраторам советуют сначала сохранить журналы и проверить устройство на признаки компрометации. После обновления нужно сменить пароли, секреты и сертификаты, которые могли оказаться в руках атакующих.