Citrix i Cisco pod ostrzałem zero-dayów

Dwa wektory ataku, jeden problem: urządzenia brzegowe

Ostatnie dni przyniosły serię niepokojących informacji o aktywnie wykorzystywanych lukach w urządzeniach brzegowych. Na celowniku znalazły się przede wszystkim rozwiązania Citrix NetScaler oraz Cisco Catalyst SD-WAN Manager. W obu przypadkach mowa o podatnościach typu zero-day, czyli błędach wykorzystywanych przez atakujących, zanim pojawi się skuteczna obrona po stronie administratorów.

To właśnie ten typ infrastruktury — bramy VPN, firewalle, systemy do zarządzania siecią — jest dziś szczególnie atrakcyjny dla napastników. Dzieje się tak dlatego, że urządzenia te często stoją na styku internetu i sieci firmowej, a jednocześnie nie są objęte takim poziomem monitoringu jak stacje robocze czy serwery.

Citrix NetScaler: ataki trwały co najmniej trzy tygodnie

W przypadku Citrix NetScaler badacze z Mandiant ustalili, że pierwsze znane wykorzystanie luki CVE-2026-88772 nastąpiło 3 września 2026 r. Ataki pozostawały niewykryte przez co najmniej trzy tygodnie, a możliwe, że nawet dłużej.

Gdy wyszły na jaw, było już jasne, że doszło do kompromitacji organizacji w Ameryce Północnej i Europie, obejmujących m.in. sektor:

• rządowy,
• finansowy,
• edukacyjny,
• telekomunikacyjny,
• prawny,
• profesjonalnych usług.

Według ustaleń badaczy chodzi o dziesiątki organizacji. Ataki przypisano zaawansowanym grupom, w tym podmiotom podejrzewanym o związki państwowe.

Mandiant opisał też, że napastnicy używali nowych narzędzi i technik, aby zdobywać uprawnienia, przemieszczać się po sieci i wykradać dane. W jednym z obserwowanych incydentów ruch był tunelowany przez nowe złośliwe oprogramowanie, co miało pomóc w ręcznym rozpoznaniu środowiska i kradzieży poświadczeń.

Citrix potwierdził później, że aktywnie wykorzystywane były także inne błędy, w tym CVE-2026-88771, a razem z nimi opublikował poprawki dla dwóch podatności oraz kolejnych sześciu luk.

Cisco SD-WAN Manager: obejście uwierzytelniania bez logowania

Druga głośna podatność dotyczy Cisco Catalyst SD-WAN Manager. Luka CVE-2026-76504 ma charakter krytyczny i pozwala zdalnemu atakującemu bez żadnych danych logowania użyć API menedżera tak, jakby był administratorem.

Cisco ocenił problem na 9,8 w skali CVSS. Błąd polega na nieprawidłowym przetwarzaniu kodowania URI w żądaniu HTTP, przez co można obejść regułę uwierzytelniania ograniczającą dostęp do jednego z endpointów API.

W praktyce oznacza to, że jeśli system jest wystawiony do internetu, ryzyko kompromitacji jest bardzo wysokie. Domyślnie konto administratora ma rolę netadmin, która pozwala wykonywać wszystkie operacje na urządzeniu.

Cisco przyznał, że dowiedział się o aktywnym wykorzystywaniu tej podatności we wrześniu 2026 r. Problem został wykryty podczas obsługi zgłoszenia w dziale wsparcia technicznego.

Co wiadomo o skali zagrożenia

W przypadku Cisco nie podano, ile dokładnie klientów padło ofiarą ataków ani kto za nimi stoi. Nie ujawniono też, co napastnicy robili po uzyskaniu dostępu. Wiadomo jednak, że luka dotyczy SD-WAN Managera niezależnie od konfiguracji, a dostępne są już poprawione wersje oprogramowania.

Cisco opublikował listę pierwszych bezpiecznych wydań dla kolejnych gałęzi:

• 20.9 → 20.9.10.1
• 20.12 → 20.12.8.2
• 20.15 → 20.15.6.1
• 20.18 → 20.18.4.1
• 26.1 → 26.1.2.1
• 26.2 → 26.2.1

Dla wersji wcześniejszych niż 20.9 konieczna jest migracja do wspieranej, poprawionej wersji.

Dodatkowe utrudnienie: ochrona urządzeń brzegowych jest słabsza

Cała sytuacja pokazuje, dlaczego ataki na urządzenia brzegowe są tak skuteczne. Takie systemy zwykle nie korzystają z klasycznego EDR, więc wykrycie nadużyć jest trudniejsze. Gdy podatność dotyczy urządzenia wystawionego do internetu, atakujący mogą działać długo i cicho, zanim ktokolwiek zauważy problem.

W przypadku Citrix i Cisco mówimy o scenariuszu, w którym luka zero-day daje napastnikom nie tylko początkowy dostęp, ale też możliwość dalszej eksploracji środowiska i kradzieży danych.

Co powinni zrobić administratorzy

Dla administratorów najważniejsze są teraz trzy kroki:

1. jak najszybciej zainstalować poprawki, jeśli są dostępne dla używanej wersji,
2. ograniczyć dostęp do interfejsów administracyjnych tylko do zaufanych hostów i sieci,
3. sprawdzić oznaki kompromitacji w logach i zgłosić sprawę do wsparcia producenta, jeśli pojawiają się podejrzane wpisy.

Cisco zaleca m.in. analizę logów pod kątem żądań do j_security_check, w tym także przypadków, gdy część ścieżki została zakodowana w URI. Wskazano dwa pliki, w których warto szukać śladów nadużyć:

• /var/log/nms/containers/service-proxy/serviceproxy-access.log
• /var/log/nms/vmanage-server.log

Szczególną uwagę należy zwrócić na wpisy związane z kontami, których nazwy zaczynają się od viptela-reserved-.

Coraz częstszy cel: edge devices

Wydarzenia wokół Citrix i Cisco wpisują się w szerszy trend. Według wcześniejszych analiz luki w urządzeniach brzegowych odpowiadały za znaczną część enterprise’owych zero-dayów. Nic dziwnego, że zarówno cyberprzestępcy nastawieni na zysk, jak i grupy szpiegowskie coraz chętniej atakują właśnie te systemy.

Wniosek jest prosty: jeśli urządzenie stoi na granicy sieci i jest wystawione na internet, staje się jednym z pierwszych celów. A gdy pojawia się zero-day, czas reakcji ma kluczowe znaczenie.