27 сентября компания Citrix выпустила информационное сообщение об обнаружении восьми уязвимостей в продуктах NetScaler ADC и NetScaler Gateway. В бюллетене было указано, что для двух из этих уязвимостей, CVE-2026-88771 и CVE-2026-88772, подтверждена эксплуатация до выхода патчей. Обе они позволяют злоумышленникам выполнять код удалённо, при этом CVE-2026-88771 влияет на уязвимые версии NetScaler ADC и Gateway вне зависимости от их конфигурации.
Перед тем как публичная информация о бюллетене стала доступна, организации, расположенные в Нидерландах, начали получать оповещения о потенциальной эксплуатации систем NetScaler. В качестве превентивной меры правительство страны решило отключить Citrix-среды от доступа к интернету. Это привело к временной потере возможности удалённого подключения для некоторых государственных служащих и прекращению работы ряда приложений, размещённых в этих средах.
Влияние ограничений затронуло также медицинские учреждения. После получения предупреждений от отраслевого центра Z-CERT, несколько больниц внесли изменения в работу Citrix-систем. В ряде учреждений пациенты на короткое время лишились возможности удалённого доступа к своим электронным медицинским записям.
«В данной ситуации особенно важно отметить, что причиной недоступности стала именно мера предосторожности. Если для обеспечения безопасности систем удалённого доступа требуется отключение критически важного компонента, то вместе с ним становятся неработоспособными: удалённый доступ, приложения и виртуальные машины, а также другие сервисы», – отметил Сергей Халяпин, Директор по развитию новых рынков и технологических альянсов Termidesk сделал соответствующее заявление.
Согласно данным, полученным от Shadowserver, в сети Интернет зафиксировано свыше 23 тысяч IP-адресов, демонстрирующих признаки использования NetScaler. Среди них приблизительно 22 тысячи экземпляров NetScaler ADC и более 1,5 тысяч Gateway. Важно отметить, что наличие этих систем не обязательно указывает на их уязвимость или отсутствие обновлений, однако свидетельствует о широком распространении подобных инсталляций в интернете.
В Соединенных Штатах Америки Управление по безопасности и кибербезопасности (CISA) внесло обе обнаруженные уязвимости в каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities) и потребовало от федеральных гражданских ведомств обеспечить защиту подверженных риску устройств до 30 сентября. Европейский центр реагирования на инциденты CERT-EU рекомендовал незамедлительно обновить затронутые системы и провести проверку на предмет компрометации тех экземпляров, которые были доступны для внешнего доступа. Аналогичное предупреждение было опубликовано Канадским центром кибербезопасности.
Данная ситуация разворачивается вскоре после вступления в силу новых положений европейского Cyber Resilience Act. С 11 сентября производители цифровых продуктов обязаны уведомлять об активно используемых уязвимостях в течение суток с момента их обнаружения, а полный отчет предоставлять в течение 72 часов через единую платформу ENISA. На текущий момент публично подтвердить роль данного механизма в первоначальных предупреждениях о проблемах с NetScaler в Нидерландах не представляется возможным.
«Состоять в ситуации, когда потребуется экстренное отключение важного элемента инфраструктуры, невозможно полностью исключить. Поэтому на этапе разработки необходимо учитывать сценарий: что произойдет с приложениями в случае необходимости отключения такого компонента, существуют ли альтернативные способы удаленного доступа и какова скорость переключения пользователей», – подчеркивает Сергей Халяпин.
Для компаний, работающих в России, технические аспекты данной проблемы не имеют принципиальных отличий. Если уязвимые NetScaler ADC и Gateway все еще используются, для них актуальны оперативное обновление и анализ ранее подключенных к сети систем на предмет возможной компрометации.
те же рекомендации производителя: Оперативные меры по обновлению и проверка систем, имеющих доступ из интернета, остаются важными.
Однако ключевой вывод касается не конкретного программного продукта. Пограничные ADC и шлюзы зачастую поддерживают сразу несколько сервисов, поэтому внеплановое отключение одного из них может повлиять на значительную часть пользовательского доступа.
«В настоящее время российские клиенты решений Citrix NetScaler сталкиваются с существенными трудностями в процессе обновления, — отмечает Сергей Халяпин. — Старые версии оборудования больше не поддерживаются производителем, доступ к личным кабинетам ограничен. Для установки новой прошивки требуется наличие действующей подписочной лицензии на устройство.»
В подобных ситуациях резервирование следует рассматривать в более широком контексте, чем просто защиту от выхода оборудования из строя или недоступности дата-центра. Причиной переключения на резервный вариант может стать исправное технически устройство, дальнейшая эксплуатация которого нежелательна.
По мнению Сергея Халяпина, для конечного пользователя несущественно причина, по которой приложение стало недоступно: поломка оборудования или необходимость экстренного отключения уязвимого шлюза администратором. Поэтому система отказоустойчивости должна предусматривать сценарий срочной изоляции отдельных компонентов инфраструктуры в целях обеспечения безопасности.»
