Уязвимости NetScaler уже исправлены: какие версии ставить и что проверить администраторам

По состоянию на 28 сентября первоначальные сообщения о двух неисправленных уязвимостях NetScaler уже устарели. Citrix подтвердила эксплуатацию CVE-2026-88771 и CVE-2026-88772 и выпустила обновления безопасности. Администраторам следует установить исправленную сборку для своей редакции устройства, сохранить доступные свидетельства и проверить, не было ли признаков компрометации до установки патча. 33350

Какие версии NetScaler исправлены

Для стандартных устройств NetScaler ADC и NetScaler Gateway Citrix указывает версии 14.1-73.37 и новее либо 13.1-64.23 и новее. Для редакций FIPS и NDcPP предусмотрены отдельные сборки: 14.1-73.37 FIPS или новее, а для 13.1-FIPS и 13.1-NDcPP — 13.1.37.279 или новее. Сверьте версию именно с редакцией своего устройства по бюллетеню Citrix: требования для стандартной сборки подходят не всем вариантам. 3

Особое внимание — ветке 13.1: новый исправленный уровень для неё — 13.1-64.23 или новее. Сборка, устранявшая более раннюю уязвимость NetScaler, может не содержать этих исправлений. 34

Это не CVE-2026-19490

CVE-2026-19490 — отдельная проблема. Citrix описывает её как обход аутентификации альтернативным путём; для эксплуатации требуются определённые настройки Gateway или AAA virtual server. Исправленные сборки для той уязвимости включают 14.1-73.32 и 13.1-63.21 — эти номера ниже исправленных версий для двух новых уязвимостей удалённого выполнения кода. Поэтому нельзя считать устройство защищённым от CVE-2026-88771 и CVE-2026-88772 только потому, что на нём установлено обновление для CVE-2026-19490. 420

В доступных сообщениях CVE-2026-88771 описана как ошибка проверки входных данных, позволяющая неаутентифицированному злоумышленнику выполнять команды. Обе уязвимости названы уязвимостями удалённого выполнения кода, однако имеющейся информации недостаточно, чтобы надёжно сравнить способы их эксплуатации. 335054

Отключать устройство или срочно обновлять?

Вывод NetScaler из эксплуатации может нарушить удалённый доступ или работу приложений, которые он обслуживает. Но если оставить уязвимое устройство доступным извне и отложить уже выпущенное обновление, сохраняется риск атаки: Citrix подтвердила эксплуатацию обеих уязвимостей на системах без необходимых мер защиты. В первую очередь установите подходящую исправленную сборку. Если сделать это быстро невозможно, рассмотрите ограничение внешнего доступа или временный вывод устройства из эксплуатации, оценив последствия для сервисов. 350

Для ветки 13.1 это особенно важно: прежнее исправление CVE-2026-19490 не устраняет новые уязвимости RCE. Проверьте точную версию и редакцию устройства по актуальному бюллетеню Citrix. 320

Сохраните свидетельства и проверьте систему до патча, если это возможно

Обновление закрывает уязвимости, но не отвечает на вопрос, успели ли злоумышленники получить доступ раньше. Если это не мешает работе, до перезагрузки или обновления сохраните относящиеся к делу журналы, конфигурацию и другие доступные материалы для расследования: последующие действия могут изменить часть данных. Затем проверьте период до установки патча на подозрительные подключения и изменения; если есть основания подозревать компрометацию, привлеките специалистов по реагированию на инциденты. watchTowr также рекомендует сохранить свидетельства, проверить систему и затем перейти на исправленную сборку. 33

Citrix подтвердила факты эксплуатации, но доступные сообщения не устанавливают, сколько организаций пострадало, кто стоял за атаками и когда они начались. Эти вопросы пока остаются открытыми: статус обновления сам по себе не доказывает, что система не была скомпрометирована до установки патча. 49