Это краткий разбор уязвимости, которая активно эксплуатируется (включена в CISA KEV). Материал описывает, что происходит, кто затронут и как реагировать — со стороны защитника, без инструкций по воспроизведению.
- CVE
- CVE-2026-88779 (бюллетень поставщика CTX697174)
- Серьёзность
- Поставщик: High / CVSS v4.0 8,7 (NVD пока не анализировала; оценки v3.1 нет)
- Тип
- Уязвимость памяти (CWE-119: операции за пределами границ буфера памяти)
- Последствия
- Классификация поставщика: отказ в обслуживании (DoS). Возможное выполнение кода исследуется специалистами
- Условия
- Аутентификация не нужна, действия пользователя не нужны. Устройства, настроенные как SAML SP или SAML IdP
- Затронуты
- NetScaler ADC / NetScaler Gateway 14.1 и 13.1, включая сборки FIPS/NDcPP, до исправленных сборок
- Исправление
- 14.1-73.41 / 13.1-64.28 и другие, выпущены 3 октября 2026 года (сборки от 27 сентября это не исправляют)
- Эксплуатация
- В CISA KEV (добавлена 4 октября 2026 года, срок устранения до 7 октября), отмечена как требующая криминалистического анализа
Насколько опасно ждать?
Поставщик говорит, что наблюдал целевые атаки на неустранённые развёртывания NetScaler, которые могут привести к DoS. NetScaler Gateway используется как точка входа VPN и удалённого доступа, поэтому, когда он выходит из строя, удалённая работа останавливается вместе с ним. С сентября у этого продукта была серия эксплуатируемых уязвимостей: CVE-2026-19490 (обход аутентификации), затем CVE-2026-88771/88772 (выполнение кода). Считайте, что атакующие постоянно работают над этим продуктом.
Что это за уязвимость?
SAML — способ входа пользователей, при котором результат входа в другой системе передаётся дальше. NetScaler может выступать как сторона, которая принимает этот результат (SP), или как сторона, которая его выдаёт (IdP). Согласно бюллетеню поставщика, устройства с включённой обработкой SAML имели уязвимость, которая позволяет операциям выходить за границы буфера памяти (CWE-119). Этот сайт не описывает, как её эксплуатируют.
Поставщик относит её к отказу в обслуживании, а вектор CVSS v4.0 указывает «без аутентификации, только влияние на доступность». Поставщик заявляет, что не выявил влияния на целостность данных клиентов. Однако исследователи сообщали о наблюдениях, которые указывают, что уязвимость могла использоваться для выполнения кода, а не только для DoS. Это расследуется и не подтверждено.
Позиция поставщика (бюллетень и блог)
- Классифицирована как отказ в обслуживании, вызванный повреждением памяти
- Наблюдались целевые атаки на неустранённые развёртывания
- Влияния на целостность данных клиентов не выявлено
Наблюдения исследователей (по сообщениям)
- Сообщения о вредоносных программах, работающих даже на пропатченных honeypot-системах
- Является ли это выполнением кода через данную уязвимость, расследуется
- CVE-2026-8452, другая уязвимость конфигурации SAML, была опубликована как DoS, а позже проанализирована как ведущая к выполнению кода
До 14.1-73.37: ни 88771/88772, ни 88779 не исправлены
→ обновите и также проверьте на вторжение
14.1-73.37 (исправление от 27 сентября): 88779 не исправлена
→ если вы используете SAML, обновите ещё раз
14.1-73.41 или новее (исправление от 3 октября): вне этого бюллетеня
→ для 13.1 аналог — 13.1-64.28 или новее
Кто затронут
| Линейка релизов | Затронутые сборки | Исправленные сборки |
|---|---|---|
| NetScaler ADC / Gateway 14.1 | до 14.1-73.41 | 14.1-73.41 и новее |
| NetScaler ADC / Gateway 13.1 | до 13.1-64.28 | 13.1-64.28 и новее |
| NetScaler ADC 14.1-FIPS | до 14.1-73.41 FIPS | 14.1-73.41 FIPS и новее |
| NetScaler ADC 13.1-FIPS / 13.1-NDcPP | до 13.1-37.282 | 13.1-37.282 и новее |
- Предварительное условие — конфигурация SAML SP (
add authentication samlAction) или SAML IdP (add authentication samlIdPProfile). - Гибридные развёртывания Secure Private Access, использующие NetScaler, затронуты; клиенты обновляют эти экземпляры NetScaler.
- Поставщик обновляет облачные сервисы, управляемые Citrix, и Adaptive Authentication.
- Бюллетень перечисляет только поддерживаемые линейки выше. Если вы используете линейку, срок поддержки которой истёк, перейдите на поддерживаемую.
Что делать
Проверьте, используете ли вы SAML
Найдите add authentication samlAction (SAML SP) или add authentication samlIdPProfile (SAML IdP) в конфигурации NetScaler. Любая из них относит устройство к зоне риска. Если у вас несколько устройств, проверьте каждое (чек-лист инвентаризации безопасности).
Обновите до исправленной сборки (первый приоритет)
Перейдите на исправленную сборку вашей линейки или новее (14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282). Устройства на сборках от 27 сентября (14.1-73.37 и другие) тоже входят в область действия. После обновления убедитесь, что работает именно нужный номер сборки. Бюллетень (CTX697174) не перечисляет дополнительных шагов после обновления, например завершения сессий.
Если сразу обновить невозможно, закройте брешь
В бюллетене не указано обходных решений. По сообщениям прессы, блог поставщика рекомендует Global Deny List для NetScaler (функцию, которая блокирует трафик от известных источников атак) как временную меру до обновления. Она не заменяет обновление.
Проверьте на сбои и вторжение
CISA отмечает эту уязвимость для криминалистического анализа. Сначала проверьте, не падало ли устройство и не перезагружалось ли оно неожиданно до обновления, и если да, обратитесь в техподдержку поставщика. Устройства, получившие исправление для 88771/88772 после 27 сентября, следует проверить по инструкции поставщика для предполагаемой компрометации (CTX694799) и по проверкам из оповещения JPCERT/CC (подозрительные изменения конфигурации веб-сервера, незнакомые файлы, подозрительные изменения прав доступа и так далее).
Если найдены признаки вторжения, не останавливайтесь на «исправлено»
Обновление закрывает брешь, но не удаляет уже установленный бэкдор и не возвращает уже похищенные учётные данные. Переустановите устройство, замените сертификаты, ключи и пароли, которые на нём хранятся, и проверьте учётные записи, которые входили через него. Полный порядок действий описан в playbook по устранению уязвимостей.
Эксплуатируемые уязвимости непосредственно перед этой: CVE-2026-88771 / 88772
27 сентября 2026 года поставщик раскрыл восемь уязвимостей и подтвердил эксплуатацию двух. CISA добавило обе в KEV в тот же день.
- CVE-2026-88771: некорректная проверка входных данных (CWE-20), позволяющая неаутентифицированному атакующему выполнять произвольные команды. По данным JPCERT/CC, затронуты все конфигурации, включая конфигурацию по умолчанию
- CVE-2026-88772: уязвимость памяти (CWE-119), ведущая к выполнению кода или DoS. Затрагивает конфигурации с включённым DTLS, который по умолчанию включён для виртуальных серверов VPN Gateway
- Исправлено в 14.1-73.37, 13.1-64.23 и других. JPCERT/CC сообщает, что попытки атак на NetScaler в Японии фиксировались с 24 сентября
- Отчёт команды анализа угроз, на который ссылается JPCERT/CC, описывает активность после эксплуатации 88772, например установку веб-шеллов для сохранения доступа
Ранее, 9 сентября, CVE-2026-19490 (обход аутентификации в конфигурациях Gateway и виртуальных серверов AAA) также была добавлена в KEV.
Мнение этого сайта: на VPN-устройстве считайте «только DoS» наивысшим приоритетом в любом случае
Поставщик относит эту уязвимость к DoS, а EPSS (оценка вероятности эксплуатации в ближайшие 30 дней) низкий — 0,3%. Тем не менее мы считаем, что ей нужен такой же приоритет, как уязвимости с выполнением кода, по трём причинам.
Во-первых, NetScaler Gateway — точка входа извне, поэтому отказ сам по себе обходится дорого. Во-вторых, CVE-2026-8452, другая уязвимость конфигурации SAML, была опубликована как DoS, а позже проанализирована как ведущая к выполнению кода — классификации могут меняться. В-третьих, у этого продукта за примерно месяц было четыре эксплуатируемые уязвимости, и устройства требуют повторного обновления сразу после предыдущего.
Эксплуатация VPN-устройства предполагает, что вы можете устанавливать экстренные обновления несколько раз в месяц. Если не можете, встаёт вопрос, стоит ли вообще сохранять это устройство (защита VPN-устройств).
Источники
- Cloud Software Group — CTX697174: бюллетень безопасности для CVE-2026-88779 (опубликован 3 октября 2026 года, по времени США (Тихоокеанское время); условия, затронутые и исправленные сборки, CVSS v4.0 8,7)
- NVD — CVE-2026-88779 (статус «Received», ещё не проанализирована, по состоянию на 5 октября; CWE-119)
- CISA KEV — Каталог известных эксплуатируемых уязвимостей (добавлена 4 октября 2026 года, срок до 7 октября, требуется криминалистический анализ)
- JPCERT/CC — Оповещение о CVE-2026-88771, CVE-2026-88772 и других (на японском; опубликовано 28 сентября, обновлено 2 октября; оповещения о CVE-2026-88779 по состоянию на 5 октября нет) / Оповещение о CVE-2026-8452 (на японском)
- IPA — Уязвимости NetScaler ADC и NetScaler Gateway (CVE-2026-88771, CVE-2026-88772 и другие) (на японском)
- Пресса — BleepingComputer (заявления блога поставщика и наблюдения исследователей о возможном выполнении кода; эта статья использует только факты и проверки со стороны защитника)
- FIRST — EPSS (0,0028 на 4 октября 2026 года)
Читайте дальше
- Практика: Защита VPN-устройств / Playbook по устранению уязвимостей
- Решения: Определение приоритетов с CVSS, EPSS и KEV
- Термины: Что такое бэкдор? / Что такое IOC? / Что такое CVSS?