Apa yang berlaku
Pada 27 September 2026, Citrix menerbitkan buletin CTX697096 yang merangkumi lapan kelemahan dalam NetScaler ADC dan NetScaler Gateway (CVE-2026-88771 hingga CVE-2026-88778). Dua daripadanya, CVE-2026-88771 dan CVE-2026-88772, sudah dieksploitasi sebagai zero-day, dan CISA menambahkannya ke katalog KEV pada hari yang sama. Menurut CISA, kedua-duanya kritikal dan masing-masing boleh membolehkan pelaksanaan kod jauh, dengan eksploitasi disahkan "di peringkat global".
Butiran teknikal yang dilaporkan
Menurut Threadlinqs, memetik Google Threat Intelligence Group dan Mandiant:
- CVE-2026-88772: limpahan heap pra-pengesahan dalam pengendalian DTLS NSPPE (UDP/443) yang membawa kepada pelaksanaan kod sebagai root.
- CVE-2026-88771: pengesahan input tidak betul (CWE-20) dalam skrip pemprosesan log yang menyambung nama daripada log ke dalam arahan shell.
- Selepas pencerobohan: kegigihan melalui konfigurasi Apache, web shell WHIPSHOT dan penerowong SLAPSHOT.
- Eksploitasi berlaku sekurang-kurangnya sejak awal September (GovInfoSecurity melaporkan sejak Ogos).
Kedua-duanya mendapat 9.5 pada CVSS 4.0.
Versi dibaiki
Naik taraf ke 14.1-73.37 atau lebih baharu, atau 13.1-64.23 atau lebih baharu. Nota: kelemahan baharu pada Oktober (CVE-2026-88779 dan CVE-2026-107406) memerlukan binaan lebih baharu; kami membincangkannya dalam artikel lain.
Apa yang perlu dilakukan
- Senaraikan semua NetScaler yang terdedah ke internet dan sahkan binaannya.
- Oleh sebab eksploitasi berlaku sebelum tampalan, cari tanda pencerobohan walaupun selepas naik taraf.
- Ikut panduan Citrix dan anggap sebarang bukti sebagai insiden.