Агентство з кібербезпеки та захисту інфраструктури США (CISA) зобов’язало державні установи виправити свої пристрої Citrix NetScaler від вразливості, що активно експлуатується, до суботи.
Ця вразливість високого рівня, відстежувана як CVE-2026-8452, виникає через слабкість переповнення пам’яті, яка впливає на пристрої NetScaler ADC та NetScaler Gateway, налаштовані з віртуальними серверами Gateway VPN або AAA (Автентифікація, Авторизація та Облік).
Хоча Citrix заявила в червні, що зловмисники можуть експлуатувати цю вразливість лише для атак типу “відмова в обслуговуванні” (DoS), кібербезпекова компанія watchTowr продемонструвала в серпні, що успішна експлуатація також може дозволити зловмисникам отримати віддалене виконання коду з правами root на неприпатчених пристроях NetScaler.
“Це вразливість переповнення пам’яті, яка може призвести до непередбачуваної поведінки або відмови в обслуговуванні та впливає на віртуальний сервер NetScaler Gateway або AAA”, – заявив тоді Citrix. “Ми також не спостерігали жодної неприпатченої експлуатації цієї вразливості”.
Наразі онлайн-моніторингова організація Shadowserver відстежує понад 22 000 пристроїв NetScaler ADC та майже 1 800 пристроїв Gateway, доступних в Інтернеті.
Однак немає інформації про те, скільки з них є “медовими пастками”, мають вразливі конфігурації або вже були виправлені.
У понеділок CISA додала вразливість CVE-2026-8452 до свого каталогу відомих експлуатованих вразливостей (KEV) і наказала Федеральному цивільному виконавчому апарату (FCEB) забезпечити безпеку всіх вразливих пристроїв Citrix до 29 серпня, згідно з наказом Binding Operational Directive (BOD) 26-04.
CISA не надала жодних деталей про атаки, які наразі націлені на вразливість CVE-2026-8452, але її попередження з’явилося через тиждень після того, як дослідники з кібербезпеки та експерти позначили вразливість як активно експлуатовану в атаках типу “pray and spray”, що розгортають веб-оболонки на скомпрометованих пристроях.
Citrix ще не оновив рекомендації з безпеки для вразливості CVE-2026-8452, щоб визнати, що вона зараз використовується в дикій природі.
Тиждень тому компанія також закликала клієнтів негайно захистити свої системи від двох інших вразливостей NetScaler, відстежуваних як CVE-2026-19490 та CVE-2026-19489, які віддалені неавтентифіковані зловмисники можуть використовувати для DoS-атак або для обходу автентифікації.
Хоча ці дві вразливості не були позначені як експлуатовані в дикій природі, Citrix просила адміністраторів виправити ще дві вразливості NetScaler (CVE-2026-3055 та CVE-2026-4368) у березні, за кілька днів до того, як зловмисники почали їх зловживати.
З листопада 2021 року американське агентство з кібербезпеки позначило 23 вразливості Citrix як експлуатовані в дикій природі, сім з них також використовувалися програмами-вимагачами.
Після того, як зловмисники отримують дійсні облікові дані, блокується лише 37% їхніх дій
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Після того, як зловмисники використовують дійсні облікові дані, запобігання різко знижується.
The Blue Report 2026 вимірює захист техніка за технікою на основі 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.
Дізнатися більше на: www.bleepingcomputer.com