Hai lỗ hổng Citrix NetScaler đang bị khai thác: Vá ngay

Hai lỗ hổng Citrix NetScaler cho phép thực thi mã từ xa mà không cần đăng nhập đang bị khai thác trên Internet. CISA đã đưa CVE-2026-88771 và CVE-2026-88772 vào danh mục KEV ngày 27/9/2026. Citrix cũng đã phát hành bản vá. Nếu doanh nghiệp đang tự quản lý NetScaler ADC hoặc NetScaler Gateway, đây là việc nên xử lý ngay, không nên để sang kỳ bảo trì “khi nào rảnh”.

Cả hai lỗi đều có điểm CVSS 4.0 là 9,5. Nguy cơ đáng ngại nằm ở vị trí của thiết bị: NetScaler thường đứng ở rìa mạng, xử lý VPN, truy cập từ xa hoặc lưu lượng ứng dụng. Một thiết bị như vậy bị chiếm có thể trở thành cửa vào mạng nội bộ.

Lỗ hổng Citrix NetScaler nguy hiểm thế nào?

CVE-2026-88771 là lỗi kiểm tra dữ liệu đầu vào không đúng. Theo Citrix, kẻ tấn công từ xa không cần tài khoản vẫn có thể chạy lệnh tùy ý. Lỗi ảnh hưởng mọi triển khai NetScaler ADC và NetScaler Gateway, kể cả cấu hình mặc định; không cần bật thêm tính năng nào.

CVE-2026-88772 là lỗi tràn bộ nhớ, có thể dẫn tới thực thi mã từ xa hoặc làm thiết bị ngừng hoạt động. Điều kiện là DTLS được bật. Citrix lưu ý DTLS được bật mặc định trên máy chủ ảo VPN, vì vậy quản trị viên không nên kết luận “chắc mình không dùng” nếu chưa kiểm tra cấu hình.

CISA cho biết đã nhận báo cáo và thông tin từ đối tác xác nhận việc khai thác diễn ra trên phạm vi toàn cầu. Đây cũng là lý do hai CVE được đưa vào KEV, danh mục các lỗ hổng đã có bằng chứng bị khai thác thực tế.

Phiên bản Citrix NetScaler cần cập nhật

Bản tin CTX697096 của Citrix liệt kê các nhánh bị ảnh hưởng: NetScaler ADC và NetScaler Gateway 14.1 trước 14.1-73.37; nhánh 13.1 trước 13.1-64.23; NetScaler ADC 14.1-FIPS trước 14.1-73.37 FIPS; NetScaler ADC 13.1-FIPS và 13.1-NDcPP trước 13.1-37.279. Secure Private Access Hybrid dùng NetScaler tự quản lý cũng thuộc phạm vi cần xử lý.

Các dịch vụ đám mây do Citrix quản lý và Adaptive Authentication do Citrix quản lý được hãng cập nhật. Tuy vậy, doanh nghiệp vẫn nên xác nhận mô hình vận hành của mình thay vì nhìn thấy chữ “cloud” rồi yên tâm hơi sớm. Các nhánh 12.1 và 13.0 đã hết hỗ trợ cần được chuyển lên phiên bản còn nhận bản vá.

Việc quản trị viên nên làm ngay

1. Kiểm kê toàn bộ NetScaler tự quản lý. Ghi lại phiên bản, vai trò ADC/Gateway, trạng thái DTLS và các máy chủ ảo VPN. Đừng bỏ sót thiết bị dự phòng hoặc máy ảo dựng tạm rồi thành “tạm vĩnh viễn”.
2. Thu thập bằng chứng trước khi cập nhật nếu nghi ngờ bị xâm nhập. CISA cảnh báo thao tác cập nhật có thể làm mất một phần dấu vết điều tra. Hãy lưu log, cấu hình, ảnh trạng thái và mốc thời gian bất thường trước khi thay đổi hệ thống.
3. Nâng cấp lên bản đã sửa. Dùng đúng nhánh tương ứng: 14.1-73.37, 13.1-64.23, 14.1-73.37 FIPS hoặc 13.1-37.279 FIPS/NDcPP trở lên. Sau khi cập nhật, xác nhận lại build đang chạy trên từng node.
4. Rà dấu hiệu xâm nhập. Citrix cung cấp các chỉ báo chung qua NetScaler Console nhưng nói rõ chúng có thể không phát hiện mọi trường hợp. Kiểm tra lệnh bất thường, tiến trình lạ, thay đổi cấu hình không có phiếu công việc, kết nối ra ngoài và tài khoản quản trị mới.
5. Thu hẹp bề mặt truy cập. Không đưa giao diện quản trị trực tiếp ra Internet. Chỉ cho phép mạng quản trị hoặc IP tin cậy, bật giám sát đăng nhập và chuẩn bị phương án cô lập nếu thấy dấu hiệu bị chiếm.

Nếu có dấu vết đáng ngờ, đừng xem cài bản vá là bước kết thúc. Cần cô lập có kiểm soát, bảo toàn bằng chứng, đổi thông tin xác thực liên quan và nhờ đội ứng cứu hoặc Citrix Support phân tích. Bản vá khóa cửa lỗi, nhưng không tự đuổi người đã lọt vào trước đó.

Cách xử lý này tương tự các thiết bị biên khác. Có thể tham khảo thêm bài hai lỗ hổng Check Point đang bị khai thác để xây checklist kiểm kê, vá và rà log cho nhóm firewall, VPN và máy chủ quản lý.

Nguồn kiểm chứng

• Citrix CTX697096: phạm vi ảnh hưởng, điều kiện khai thác và phiên bản đã sửa.
• CISA: cảnh báo hai lỗ hổng zero-day đang bị khai thác toàn cầu.
• CISA: đưa CVE-2026-88771 và CVE-2026-88772 vào KEV.
• BleepingComputer: kiểm chứng độc lập và tổng hợp bản vá Citrix.