Citrix-ის ნულოვანი დღის ხარვეზებით უწყებებსა და ბანკებს შეუტიეს

CVE-2026-88771-ს შეუძლია, ავტორიზაციის გარეშე მოქმედ თავდამსხმელს ნებისმიერი ბრძანების დისტანციურად შესრულების საშუალება მისცეს. CVE-2026-88772 მეხსიერების გადავსების ხარვეზია. DTLS-ის ჩართვისას მან შესაძლოა კოდის დისტანციური შესრულება ან მომსახურების შეფერხება გამოიწვიოს. VPN-ის ვირტუალურ სერვერებზე DTLS ნაგულისხმევად ჩართულია.

თუმცა, როცა Citrix-მა უსაფრთხოების ცნობები გამოაქვეყნა და მომხმარებლები გააფრთხილა, ამ ხარვეზებს თავდასხმებში უკვე იყენებდნენ.

ჰარისმა თქვა: „თავდასხმა საჯაროდ არავისთვის მიუწერიათ. სამიზნეებს შორის ჯერ არც დარგისა და არც ორგანიზაციის ზომის მიხედვით მკაფიო ტენდენცია არ გამოგვივლენია. წარსულში NetScaler-ის ხარვეზებს როგორც სახელმწიფოების მიერ მხარდაჭერილი ჯგუფები, ისე გამომძალველი პროგრამების ოპერატორები იყენებდნენ“.

WatchTowr-მა სამშაბათს CVE-2026-88772-ის ტექნიკური აღწერა გამოაქვეყნა. კომპანიამ ასევე გაავრცელა აღმოჩენის არტეფაქტების გენერატორი, რომელიც Citrix-ის მომხმარებლებს მოწყვლადობის დადგენასა და პრობლემის აღმოფხვრაში ეხმარება.

Google-ის საფრთხეების დაზვერვის განყოფილებებმა იმავე დღეს კამპანიის სამიზნეებისა და თავდამსხმელთა სპეციალურად შექმნილი მავნე პროგრამების შესახებ დამატებითი ინფორმაცია გაავრცელეს.

Google Threat Intelligence Group-მა (Google Threat Intelligence Group) და Mandiant-მა (Mandiant) რეკომენდაციაში განაცხადეს: „ჩვენ ვნახეთ მტკიცებულებები, რომ გამოყენების ამ კამპანიამ, რომელიც სულ მცირე სექტემბრის დასაწყისიდან მიმდინარეობს, სავარაუდოდ დააზარალა ჩრდილოეთ ამერიკასა და ევროპაში მოქმედი ორგანიზაციები. ისინი სამთავრობო, ფინანსური მომსახურების, განათლების, იურიდიული და პროფესიული მომსახურების სექტორებში მუშაობენ“.

შეღწევის შემდგომ გამოყენებული ხელსაწყოების გაანალიზებისას სპეციალისტებმა მანამდე უცნობი მავნე პროგრამები აღმოაჩინეს. თავდამსხმელები მათ მუდმივი root-წვდომის მოსაპოვებლად და შიდა კორპორაციულ ქსელებში ტრაფიკის გადასამისამართებლად იყენებდნენ.

სპეციალურად შექმნილი მავნე პროგრამების ნაკრები მოიცავს PHP-ზე დაწერილ ვებგარს WHIPSHOT-სა და Python-ზე შექმნილ TCP-გვირაბის ხელსაწყო SLAPSHOT-ს.

WHIPSHOT-ი Debian-ის პაკეტადაა შენიღბული და Base64-ით კოდირებულ მართვის დატვირთვებს სტანდარტულ HTTP-სათაურებში მალავს. ის SLAPSHOT-ისთვის HTTP-ის სატრანსპორტო ხიდის ფუნქციას ასრულებს. SLAPSHOT-ი WHIPSHOT-ისგან ბრძანებებს იღებს და ნებისმიერ TCP-ნაკადს შიდა ჰოსტებთან გზავნის.

open სამიზნე ჰოსტსა და პორტთან გამავალ TCP-სოკეტს ქმნის.

push ღია სესიაში მონაცემებს წერს.

pull ღია სესიის სოკეტს ამოწმებს და იქიდან მონაცემებს კითხულობს.

exch ღია სესიის სოკეტში მართვის მონაცემებს გზავნის და იქიდან იღებს.

საფრთხეების დაზვერვის გუნდებმა აღნიშნეს: „სულ მცირე ერთ დაფიქსირებულ შეღწევაში თავდამსხმელმა ტრაფიკი ამ პროქსის გავლით გაატარა, რათა შიდა დაზვერვა და ანგარიშის მონაცემების მოპარვა ხელით განეხორციელებინა“.

Google-მა The Register-ის კითხვებს დაუყოვნებლივ არ უპასუხა. გამოცემა დაინტერესდა, გამოყენების რამდენი მცდელობა და წარმატებული შეღწევა შენიშნეს კომპანიის სპეციალისტებმა. Google-ის რეკომენდაციის თანახმად, Citrix-ის კამპანია „კიდევ ერთხელ აჩვენებს, რომ მსხვერპლთა ქსელებში პირველადი წვდომის მოსაპოვებლად პერიფერიულ მოწყობილობებზე თავდასხმები გრძელდება. GTIG-მა ეს ტენდენცია მრავალი სახის თავდამსხმელთან დააფიქსირა“.

Google-ის მონაცემებით, 2025 წელს საწარმოთა სისტემებთან დაკავშირებული ნულოვანი დღის ხარვეზების დაახლოებით ნახევარი უსაფრთხოებისა და ქსელურ მოწყობილობებზე მოდიოდა.

თავდამსხმელები ხშირად ირჩევენ პერიფერიულ მოწყობილობებს, მათ შორის აპლიკაციების მიწოდების კონტროლერებს, VPN-კარიბჭეებსა და ქსელთაშორის ეკრანებს. ისინი ღია ინტერნეტიდან კორპორაციულ ქსელებთან პირდაპირ წვდომას უზრუნველყოფენ. შედეგად, თავდამსხმელებს საბოლოო მოწყობილობებზე საფრთხის აღმოჩენის ხელსაწყოებისა და უსაფრთხოების სხვა შრეების გვერდის ავლა შეუძლიათ.

განსაკუთრებით ბევრი შეცდომით NetScaler-ია ცნობილი. თავდამსხმელებმა NetScaler-ის კიდევ ერთი კრიტიკული ხარვეზი მარტში გამოიყენეს. ერთი წლით ადრე Citrix-მა იმავე პროდუქტში ნულოვანი დღის რამდენიმე ხარვეზი გაასაჯაროვა.

თემებიბენჯამინ ჰარისიჩარლზ კარმაკალიCitrixGoogleGoogle Threat Intelligence GroupGreyNoiseMandiantMandiant ConsultingwatchTowrNetScaler

გამოქვეყნდა 30 სექტემბერი, 2026