Jeśli pracownicy łączą się z firmową siecią z domu przez stronę logowania z logo Citrix albo NetScaler, za tą stroną stoi konkretne urządzenie. Od niedzieli 27 września wiadomo, że ma ono dwie luki używane przez atakujących. Pierwsza pozwala wykonać na nim dowolne polecenia bez logowania i działa w konfiguracji domyślnej. Druga daje podobny skutek, jeśli włączony jest protokół DTLS, a na bramce zdalnego dostępu jest on włączony z automatu. Citrix opublikował tego dnia poprawki i sam przyznaje, że ataki na niezałatane urządzenia już zaobserwowano. Tego samego dnia amerykańska agencja CISA dopisała obie luki do katalogu wykorzystywanych podatności i dała urzędom federalnym czas do 30 września. Najważniejsza rada CISA brzmi nietypowo: zanim zaktualizujesz, sprawdź, czy ktoś już nie był w środku.
Co wiemy o lukach w Citrix NetScaler
NetScaler ADC i NetScaler Gateway to urządzenia stojące na brzegu sieci. Rozkładają ruch na serwery i obsługują zdalny dostęp, czyli firmowy VPN i logowanie do pulpitów. W Polsce spotyka się je w urzędach, szpitalach i firmach, które wdrażały Citrixa do pracy zdalnej. Właśnie dlatego szef firmy może mieć NetScalera i nie znać tej nazwy, bo pracownik widzi z niego tylko okno logowania.
Biuletyn Citrix CTX697096 opisuje osiem luk, ale wykorzystywane są dwie z nich. Obie dostały od producenta ocenę 9,5 w skali CVSS 4.0, której maksimum to 10:
- CVE-2026-88771 to błąd walidacji danych wejściowych. Nieuwierzytelniony napastnik może przez niego wykonywać dowolne polecenia. Według Citriksa podatne są wszystkie wdrożenia NetScaler ADC i Gateway, także w konfiguracji domyślnej, bez żadnych dodatkowych funkcji.
- CVE-2026-88772 to przepełnienie pamięci, które kończy się zdalnym wykonaniem kodu albo odmową usługi. Warunkiem jest włączony DTLS, czyli wariant szyfrowania TLS dla połączeń UDP, używany przez klienta VPN. Na serwerze wirtualnym VPN jest on włączony domyślnie, a Gateway jest podatny, jeśli administrator nie wyłączył go jawnie.
Obie luki to tak zwane zero-daye, czyli podatności wykorzystywane przez atakujących, zanim istniała na nie poprawka. Kto atakuje i ile urządzeń przejęto, nie podaje ani Citrix, ani CISA. CISA pisze tylko, że ma zgłoszenia i dane partnerów potwierdzające ataki “globalnie”.
Które wersje NetScalera są podatne i gdzie jest poprawka
Aktualizacja 5 października 2026: dla urządzeń, które logują użytkowników przez SAML, wersje z tabeli poniżej już nie wystarczą. 4 października Citrix opisał w biuletynie CTX697174 trzecią lukę wykorzystywaną w atakach, CVE-2026-88779, czyli przepełnienie pamięci prowadzące do odmowy usługi (8,7 w skali CVSS 4.0). Dotyczy konfiguracji z SAML SP (add authentication samlAction) albo SAML IdP (add authentication samlIdPProfile), a usuwają ją wersje 14.1-73.41, 13.1-64.28, 14.1-73.41 FIPS i 13.1-37.282 (13.1-FIPS i 13.1-NDcPP). CISA dopisała ją do katalogu KEV tego samego dnia. Jak sprawdzić konfigurację i co zrobić po aktualizacji, opisujemy w tekście o luce CVE-2026-88779.
Citrix wskazuje cztery linie wersji, w których luki zostały usunięte:
| Linia | Wersja z poprawką luk z 27 września |
|---|---|
| NetScaler ADC i Gateway 14.1 | 14.1-73.37 i nowsze |
| NetScaler ADC i Gateway 13.1 | 13.1-64.23 i nowsze |
| NetScaler ADC 14.1-FIPS | 14.1-73.37 FIPS i nowsze |
| NetScaler ADC 13.1-FIPS i 13.1-NDcPP | 13.1-37.279 i nowsze |
Podatne są też instancje NetScalera używane we wdrożeniach Secure Private Access Hybrid. Biuletyn dotyczy tylko urządzeń zarządzanych przez klienta, bo usługi chmurowe prowadzone przez Citrix producent aktualizuje sam.
Najbardziej niepokojące jest to, czego w biuletynie brakuje. Citrix wylicza wyłącznie wersje wspierane, a o liniach 12.1 i 13.0, które od dawna nie dostają poprawek, milczy. Przy poprzedniej głośnej luce, w czerwcu 2025 roku, pisał o nich wprost, że są podatne. Tym razem nie wiadomo nawet tyle. Jedno jest pewne: urządzenie na 12.1 albo 13.0 poprawki nie dostanie, więc jedyną drogą jest przejście na 14.1 lub 13.1.
Pierwsza Misja AI · Kodożercy
Zagrożenia AI rozumie ten, kto wie, jak ona działa
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Dlaczego CISA każe szukać śladów włamania przed aktualizacją
Zwykła kolejność przy krytycznej luce to najpierw łatka, a potem ewentualne sprzątanie. Alert CISA z 27 września odwraca ją z konkretnego powodu. Aktualizacja urządzenia może zatrzeć ślady, po których dałoby się ustalić, czy i kiedy ktoś się włamał. Jeśli istnieje podejrzenie włamania, dowody trzeba zabezpieczyć przed instalacją poprawki. Citrix udostępnił wskaźniki włamania w NetScaler Console, czyli w swoim narzędziu do zarządzania urządzeniami, i opisał je w osobnym wpisie.
To ma praktyczne znaczenie. Załatane urządzenie, do którego ktoś wszedł w piątek, dalej może mieć w środku jego konta, klucze i zmiany w konfiguracji. Dlatego samo “zaktualizowaliśmy w poniedziałek” nie kończy sprawy.
Termin 30 września formalnie wiąże tylko amerykańskie agencje federalne, ale dobrze pokazuje, jak pilnie CISA traktuje sprawę. W Polsce głos zabrał CERT Polska. W komunikacie 180/2026 z 27 września, gdy poprawek jeszcze nie było, zalecał odłączenie urządzeń NetScaler od internetu. W aktualizacji z 28 września, po publikacji biuletynu, zaleca niezwłoczną aktualizację do wersji z poprawką. Kto zauważy ślady wykorzystania luk, powinien zgłosić to CERT Polska przez formularz na incydent.cert.pl.
Co zrobić z NetScalerem dzisiaj
Jeśli twoja firma korzysta z Citrixa do pracy zdalnej, a nie wiesz, kto dba o bramkę, zacznij od pytania do działu IT albo firmy, która ją wdrażała. Administrator może przejść przez te kroki:
- Ustal, czy masz NetScalera i w jakiej wersji. Liczy się pełny numer kompilacji, na przykład 14.1-73.37. W liniach z tabeli podatne są kompilacje starsze od wskazanych. O liniach 12.1 i 13.0 biuletyn milczy, a poprawki nie dostaną.
- Sprawdź ślady włamania, zanim zaktualizujesz. Uruchom wskaźniki udostępnione przez Citrix w NetScaler Console i przejrzyj dzienniki, zwłaszcza te wysyłane na zewnętrzny serwer syslog.
- Jeśli coś budzi wątpliwości, nie łataj od razu. Postępuj według instrukcji Citrix na wypadek podejrzenia włamania. Każe ona zrobić migawkę maszyny wirtualnej albo obraz dysku, odizolować urządzenie i dopiero potem je odbudować.
- Zainstaluj wersję z poprawką. Na 12.1 i 13.0 oznacza to migrację na wspieraną linię. Jeśli urządzenie używa SAML, wybierz od razu 14.1-73.41 albo 13.1-64.28.
- Sprawdź konfigurację DTLS. Biuletyn podaje, że Gateway jest podatny na drugą lukę, jeśli w definicji serwera VPN nie ma jawnego
-dtls OFF. To pomaga ocenić, czy urządzenie było narażone na obie luki.
Przy podejrzeniu włamania ta sama instrukcja Citrix każe zmienić hasła kont serwisowych i sekrety przechowywane na urządzeniu, na przykład do LDAP, RADIUS, kluczy API i tokenów OAuth. Każe też zmienić hasła użytkowników, którzy logowali się przez bramkę, odwołać certyfikaty z kluczami prywatnymi i obserwować odbudowany system przez co najmniej 90 dni. Biuletyn z 27 września tych kroków nie wymienia. Instrukcja dotyczy organizacji, u których sprawdzenie wskaźników dało powody do niepokoju.
Piąty raz w tym roku NetScaler w katalogu CISA
Według katalogu CISA to już piąty raz w 2026 roku, gdy luki w NetScalerze trafiają na listę wykorzystywanych podatności: w marcu, w sierpniu, 9 i 27 września oraz 4 października. Wcześniej głośne były dwie fale, nazwane przez badaczy CitrixBleed. W październiku 2023 roku luka CVE-2023-4966 pozwalała wykradać z pamięci urządzenia tokeny sesji. CISA kazała wtedy po łatce zamknąć wszystkie aktywne sesje. W czerwcu 2025 roku podobnie działała CVE-2025-5777, którą według katalogu CISA wykorzystywały też grupy ransomware. Urządzenia brzegowe od lat należą do ulubionych celów, o czym pisaliśmy przy chińskim botnecie z przejętych routerów.
W Polsce dochodzi wątek prawny. Podmioty kluczowe i ważne w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa odpowiadają za zarządzanie podatnościami i muszą zgłaszać poważne incydenty. Kto nie jest pewien, czy ustawa go obejmuje, powinien to ustalić szybko. Termin samodzielnego wpisu do wykazu mija 3 października, co opisaliśmy w tekście o Wykazie KSC. Zgłoszenie incydentu do CERT Polska jest też pierwszym krokiem, jeśli NetScaler w takiej organizacji okaże się przejęty.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
Citrix NetScaler ma dwie krytyczne luki, które według producenta i CISA są już wykorzystywane. Pierwsza dotyczy każdego niezałatanego wdrożenia objętego biuletynem, także w konfiguracji domyślnej. Druga wymaga DTLS, który na bramce VPN jest domyślnie włączony. Poprawki są w wersjach 14.1-73.37 i 13.1-64.23 oraz w odpowiadających im wydaniach FIPS, a urządzenia z logowaniem SAML potrzebują od 4 października wersji 14.1-73.41 albo 13.1-64.28. Linie 12.1 i 13.0 poprawki nie dostaną, a biuletyn w ogóle ich nie wymienia, więc bezpiecznym wyjściem jest migracja. Kolejność działań ma tu znaczenie. Najpierw trzeba sprawdzić wskaźniki włamania i zabezpieczyć dzienniki, potem zaktualizować urządzenie. Jeśli znajdą się ślady włamania, trzeba odbudować urządzenie, zmienić hasła i odwołać certyfikaty według instrukcji Citrix. Szef firmy, który nie wie, czy ma NetScalera, powinien dziś zapytać o to swój dział IT.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
