Napadi prilagođenim malwareom putem Citrix zero-day ranjivosti ciljaju državne agencije, banke i tvrtke profesionalnih usluga, prema izvješću The Registera. Dva velika pitanja ostaju bez odgovora: tko zloupotrebljava ranjivosti i zašto je Citrixu trebalo toliko vremena da ih objavi. Za svakoga kome je udaljeni pristup neophodan za obavljanje posla, ova priča koristan je podsjetnik koliko povjerenja leži u jednom jedinom gateway uređaju.

Što znamo o napadima prilagođenim malwareom putem Citrix zero-day ranjivosti

Napadi se usredotočuju na Citrix NetScaler ADC i NetScaler Gateway proizvode. Na temelju javnih izvješća prikupljenih oko ove priče, Mandiant Consulting i Google Threat Intelligence Group identificirali su aktivno iskorištavanje u stvarnom svijetu krajem rujna 2026. CISA je zatim proširila Citrixovu objavu o osam novih ranjivosti koje pogađaju obje produktne linije.

Istraživači u Aviatrixu povezuju dvije od tih ranjivosti, CVE-2026-88771 i CVE-2026-88772, s postavljanjem malwarea koji nazivaju WHIPSHOT i SLAPSHOT. GreyNoise je izvijestio da je 24. rujna 2026. zlonamjerni akter koristio jednu IP adresu za pokušaj zero-day iskorištavanja protiv NetScaler Gatewaya. Dark Reading opisuje te greške kao kritične i navodi da pogađaju zadane konfiguracije, što znači da organizacije mogu biti izložene bez ikakvih rizičnih promjena postavki.

Naslov The Registera upućuje na korištenje prilagođenog malwarea, što zaslužuje trenutak pažnje. Namjenski izrađeni alati upućuju na napadača koji je planirao postojanost i tihi pristup, a ne brzu pljačku. Ciljanje državnih institucija, banaka i tvrtki profesionalnih usluga uklapa se u tu sliku, budući da ti sektori čuvaju osjetljive podatke i često su povezani s mnogim drugim organizacijama.

Ono što ne znamo jednako je važno. U materijalima koje smo pregledali nije utvrđena nikakva javna atribucija, pa svakoga tko imenuje konkretnu skupinu treba uzeti s oprezom.

Kašnjenje objave i zašto je važno

Drugo otvoreno pitanje je vrijeme. The Register pita zašto je Citrixu trebalo toliko vremena da objavi informacije. Nemamo potvrđen odgovor i ovaj članak neće nagađati o njemu. Ali razlog zašto je to pitanje važno jasan je.

Zero-day je opasan jer branitelji nemaju zakrpu. Svaki dan između prvog iskorištavanja i javne objave dan je kada napadači mogu djelovati, a korisnici nemaju razloga tražiti znakove kompromitacije. Kada proizvođač objavi informacije i zakrpa postoji, branitelji se suočavaju s drugim problemom: moraju brzo zakrpati, ali i utvrditi jesu li bili kompromitirani prije nego što je zakrpa stigla. Krpanje zatvara vrata, ali ne izbacuje nikoga tko je već unutra.

Zato su indikatori kompromitacije koje objavljuju istraživači jednako važni kao i sama zakrpa. Ako je prilagođeni malware postavljen prije objave, samo ažuriranje uređaja možda neće biti dovoljno.

Zašto su gatewayi za udaljeni pristup stalna meta

Gatewayi i VPN uređaji nalaze se na rubu mreže, dizajnom su dostupni s interneta i često imaju širok pristup unutarnjim sustavima. To ih čini privlačnima: jedno uspješno iskorištavanje može osigurati uporište koje zaobilazi mnoge unutarnje kontrole. Također obično pokreću specijalizirani softver koji je teže nadzirati od standardnog prijenosnog računala ili poslužitelja.

Ovaj obrazac smo već vidjeli. SonicWall SMA zero-day ranjivosti bile su još jedan slučaj uređaja za udaljeni pristup koji su iskorištavani prije nego što su branitelji znali da trebaju tražiti. Zajednička nit je da napadači idu tamo gdje je pristup koncentriran.

Strana alata također je važna. Napadači su sve više u mogućnosti kupiti sposobnosti izbjegavanja, kao što pokazuje tržište za EDR izbjegavanje koje se prodaje kao pretplata. Prilagođeni malware na rubnom uređaju, gdje endpoint sigurnosni alati često uopće ne mogu raditi, pojačava tu prednost.

Što to znači za vas

Ako ste sigurnosni ili IT stručnjak u organizaciji koja koristi NetScaler, tretirajte ovo kao hitno. Potvrdite jesu li vaši uređaji pogođeni, primijenite proizvođačeve zakrpe i pregledajte indikatore kompromitacije koje su objavili istraživači. Pretpostavite da samo krpanje ne dokazuje da ste čisti.

Ako radite na daljinu, ne možete zakrpati gateway svog poslodavca, ali ipak možete djelovati. Brzo prijavite IT timu neočekivane zahtjeve za prijavu, prisilne promjene lozinke ili neobično ponašanje pri pristupu. Koristite višefaktorsku autentifikaciju gdje god je dostupna i držite vlastite uređaje ažurnima kako ne bi bili jednostavan drugi put za ulaz.

Ako koristite osobni VPN, imajte na umu da se ova priča odnosi na enterprise gateway proizvode, a ne na usluge VPN-a za potrošače. Šira lekcija ipak vrijedi: svaka pristupna točka okrenuta internetu sigurna je samo onoliko koliko je sigurno njezino posljednje ažuriranje.

Što organizacije i zaposlenici na daljinu mogu učiniti sada

  • Popišite svoje rubne uređaje. Ne možete zakrpati ono za što ne znate da imate. Popišite svaki gateway i uređaj okrenut internetu.
  • Krpajte brzo, zatim istražite. Primijenite zakrpe za objavljene NetScaler ranjivosti, a zatim tragajte za znakovima ranije kompromitacije koristeći objavljene indikatore.
  • Ograničite izloženost. Ograničite upravljačka sučelja s javnog interneta i segmentirajte ono čemu gateway može pristupiti iznutra.
  • Nadzirite rub. Šaljite zapise uređaja u središnji sustav i pratite neobične sesije ili promjene konfiguracije.
  • Pripremite se za sljedeći. Imajte plan za hitno krpanje izvan uobičajenih prozora održavanja.

Zaključak

Napadi prilagođenim malwareom putem Citrix zero-day ranjivosti pokazuju da gatewayi za udaljeni pristup ostaju glavna meta i da je razdoblje prije objave ono kada su branitelji najsljepji. Tko stoji iza kampanje i zašto je objava toliko kasnila i dalje su otvorena pitanja, ali obrambeni koraci ne ovise o odgovorima. Iznova pogledajte kako vaša organizacija osigurava udaljeni pristup i krpa rubne uređaje te pročitajte našu coverage o SonicWall SMA zero-day ranjivostima kao paralelnom slučaju uređaja za udaljeni pristup iskorištavanih prije objave.