Chuyện gì đã xảy ra
Ngày 27/9/2026, Citrix phát hành bản tin CTX697096 về tám lỗ hổng trong NetScaler ADC và NetScaler Gateway (CVE-2026-88771 đến CVE-2026-88778). Hai lỗi CVE-2026-88771 và CVE-2026-88772 đã bị khai thác dưới dạng zero-day, và CISA đưa chúng vào danh mục KEV cùng ngày. Theo CISA, cả hai đều nghiêm trọng và mỗi lỗi riêng lẻ đều cho phép thực thi mã từ xa, với hoạt động khai thác được xác nhận "trên toàn cầu".
Chi tiết kỹ thuật được báo cáo
Theo Threadlinqs, dẫn Google Threat Intelligence Group và Mandiant:
- CVE-2026-88772: tràn heap trước xác thực trong xử lý DTLS của NSPPE (UDP/443), dẫn tới thực thi mã với quyền root.
- CVE-2026-88771: kiểm tra đầu vào không đúng (CWE-20) trong script xử lý log, ghép tên lấy từ log vào lệnh shell.
- Sau xâm nhập: duy trì qua cấu hình Apache, web shell WHIPSHOT và công cụ đường hầm SLAPSHOT.
- Khai thác ít nhất từ đầu tháng 9 (GovInfoSecurity cho biết từ tháng 8).
Cả hai đạt 9,5 theo CVSS 4.0.
Phiên bản đã vá
Nâng cấp lên 14.1-73.37 trở lên hoặc 13.1-64.23 trở lên. Lưu ý: tháng 10 xuất hiện lỗi mới (CVE-2026-88779 và CVE-2026-107406) cần bản dựng mới hơn; chúng tôi sẽ trình bày trong bài khác.
Nên làm gì
- Kiểm kê mọi NetScaler mở ra internet và xác nhận bản dựng.
- Vì bị khai thác trước khi có bản vá, hãy tìm dấu hiệu xâm nhập kể cả sau khi nâng cấp.
- Làm theo hướng dẫn của Citrix và xử lý như sự cố nếu có dấu hiệu.