Ano ang nangyari
Noong Setyembre 27, 2026, inilabas ng Citrix ang bulletin CTX697096 para sa walong vulnerability sa NetScaler ADC at NetScaler Gateway (CVE-2026-88771 hanggang CVE-2026-88778). Ang dalawa, CVE-2026-88771 at CVE-2026-88772, ay inaabuso na bilang zero-day, at idinagdag ng CISA sa KEV catalog sa parehong araw. Ayon sa CISA, parehong kritikal at bawat isa ay kayang magbigay ng remote code execution, na kumpirmadong inaabuso "sa buong mundo".
Mga iniulat na teknikal na detalye
Ayon sa Threadlinqs, na sumipi sa Google Threat Intelligence Group at Mandiant:
- CVE-2026-88772: pre-authentication heap overflow sa DTLS handling ng NSPPE (UDP/443) na humahantong sa code execution bilang root.
- CVE-2026-88771: maling input validation (CWE-20) sa log-processing script na nagdudugtong ng mga pangalan mula sa log sa shell commands.
- Pagkatapos makapasok: persistence gamit ang Apache config, ang WHIPSHOT web shell at ang SLAPSHOT tunneler.
- Nagsimula ang pag-abuso kahit noong unang bahagi ng Setyembre (ayon sa GovInfoSecurity, mula pa Agosto).
Parehong 9.5 sa CVSS 4.0.
Mga naayos na bersyon
Mag-upgrade sa 14.1-73.37 o mas bago, o 13.1-64.23 o mas bago. Paalala: may mga bagong butas noong Oktubre (CVE-2026-88779 at CVE-2026-107406) na nangangailangan ng mas bagong build; tatalakayin namin ito sa hiwalay na artikulo.
Ano ang gagawin
- Ilista ang lahat ng NetScaler na nakaharap sa internet at kumpirmahin ang build.
- Dahil nauna ang pag-abuso sa patch, maghanap ng palatandaan ng kompromiso kahit pagkatapos mag-upgrade.
- Sundin ang gabay ng Citrix at ituring na incident ang anumang ebidensya.