Đã có bản vá cho hai lỗ hổng NetScaler bị khai thác: Quản trị viên cần làm gì?

Tính đến ngày 28/9, thông tin ban đầu rằng hai lỗ hổng zero-day của NetScaler chưa được vá đã không còn chính xác. Citrix xác nhận CVE-2026-88771 và CVE-2026-88772 đã bị khai thác, đồng thời phát hành bản cập nhật bảo mật ngày 27/9. Quản trị viên nên cập nhật đúng bản dựng cho từng phiên bản thiết bị, lưu giữ bằng chứng hiện có và rà soát giai đoạn trước khi vá để tìm dấu hiệu xâm nhập. 33350

Các phiên bản NetScaler đã được sửa

Với NetScaler ADC và NetScaler Gateway bản tiêu chuẩn, Citrix liệt kê 14.1-73.37 trở lên và 13.1-64.23 trở lên là các phiên bản đã khắc phục lỗ hổng. Các bản FIPS và NDcPP có yêu cầu riêng: thông báo nêu 14.1-73.37 FIPS trở lên và 13.1.37.279 trở lên cho 13.1-FIPS và 13.1-NDcPP. Hãy đối chiếu đúng dòng sản phẩm trong thông báo của Citrix, thay vì mặc định phiên bản tiêu chuẩn áp dụng cho mọi thiết bị. 3

Điểm cần lưu ý với nhánh 13.1 là phiên bản đích đã sửa hiện là 13.1-64.23 trở lên. Thiết bị từng được cập nhật để xử lý một lỗ hổng NetScaler trước đó vẫn có thể chưa đạt phiên bản này. 34

Không nhầm với CVE-2026-19490

CVE-2026-19490 là một vấn đề riêng: Citrix mô tả đây là lỗ hổng vượt qua xác thực qua một đường xử lý thay thế, với các yêu cầu cấu hình cụ thể đối với Gateway hoặc máy chủ ảo AAA. Các phiên bản khắc phục lỗ hổng đó gồm 14.1-73.32 và 13.1-63.21; những mốc này thấp hơn phiên bản cần có để xử lý hai lỗ hổng RCE mới. Vì vậy, không thể coi thiết bị đã cập nhật để vá CVE-2026-19490 là đã được bảo vệ trước CVE-2026-88771 và CVE-2026-88772. 420

Thông tin hiện có xác định CVE-2026-88771 là lỗi xác thực đầu vào không phù hợp, có thể cho phép kẻ tấn công chưa xác thực chạy lệnh. Các nguồn cũng gọi cả hai CVE là lỗ hổng thực thi mã từ xa (RCE), nhưng chưa có đủ chi tiết để so sánh đáng tin cậy cơ chế khai thác của chúng. 335054

Cân nhắc giữa gián đoạn dịch vụ và nguy cơ bị tấn công

Đưa thiết bị NetScaler ngoại tuyến có thể làm gián đoạn truy cập từ xa hoặc các ứng dụng mà thiết bị cung cấp. Ngược lại, tiếp tục để thiết bị bị ảnh hưởng tiếp xúc với bên ngoài trong khi trì hoãn bản vá cũng mang rủi ro: Citrix xác nhận cả hai lỗ hổng đã bị khai thác trên các hệ thống chưa được giảm thiểu. Ưu tiên cài đúng bản dựng đã sửa; nếu chưa thể cập nhật kịp thời, hãy cân nhắc hạn chế truy cập từ bên ngoài hoặc tạm ngừng dịch vụ, đồng thời đánh giá tác động vận hành. 350

Điều này đặc biệt quan trọng với nhánh 13.1: đừng xem mốc vá CVE-2026-19490 trước đó là đủ cho các lỗ hổng RCE mới. Kiểm tra chính xác phiên bản và phiên bản sản phẩm của thiết bị theo thông báo hiện hành của Citrix. 320

Lưu bằng chứng và điều tra trước khi vá nếu có thể

Cập nhật giúp khắc phục lỗ hổng, nhưng không xác định được liệu kẻ tấn công đã truy cập thiết bị trước đó hay chưa. Nếu điều kiện vận hành cho phép, hãy lưu giữ nhật ký liên quan, cấu hình và các bằng chứng pháp y hiện có trước những thao tác như khởi động lại hoặc nâng cấp có thể làm thay đổi chúng. Sau đó, rà soát giai đoạn trước khi vá để tìm dấu hiệu truy cập hoặc thay đổi bất thường; nếu nghi ngờ bị xâm nhập, hãy phối hợp với đội ứng phó sự cố. watchTowr cũng khuyến nghị lưu giữ bằng chứng, kiểm tra khả năng bị xâm nhập rồi cập nhật lên bản dựng đã sửa. 33

Citrix xác nhận đã xảy ra khai thác, nhưng các thông tin được công bố hiện chưa cho biết có bao nhiêu tổ chức bị ảnh hưởng, ai đứng sau các cuộc tấn công hoặc hoạt động khai thác bắt đầu từ khi nào. Hãy xem những câu hỏi này là chưa có lời giải; trạng thái đã vá tự nó không chứng minh hệ thống sạch hay xác định được phạm vi sự cố. 49