🔥 Alert: периметр под атакой — NetScaler и Check Point. Эксплуатация шла неделями до патча

Коллеги, если у вас на внешке висят Citrix или Check Point — бросайте рутину и проверяйте периметр прямо сейчас. В активной эксплуатации сразу несколько критических уязвимостей.

🔴 CITRIX NETSCALER ADC / GATEWAY
CVE-2026-88771 — Pre-auth RCE в конфигурации по умолчанию.

CVE-2026-88772 — переполнение буфера → RCE или DoS. Эксплуатируется через DTLS (включён по дефолту на VPN vServers).

Обе уязвимости крутятся «в дикой природе» независимо друг от друга уже недели. Патчи вышли только 28 сентября.

Почерк атаки: под каждое устройство заливается уникальный веб-шелл, следы вычищаются. Работают профи с серьезными ресурсами (вероятно, целевой шпионаж).

Исправлено в версиях: 14.1-73.37, 13.1-64.23, FIPS 14.1-73.37, NDcPP 13.1-37.279.

Добавлено в CISA KEV (дедлайн на закрытие — 30 сентября).

🔴 CHECK POINT
CVE-2026-85102 — Pre-auth RCE в обработке VPN-сертификатов. Затронуты Security Gateway R81.10–R82.10 и Quantum Spark. Активная эксплуатация фиксируется минимум с 12 сентября.

IoC по сертификатам: ищите связки CN=vpn,OU=users,O=global, а также вариации с vpn-user / vpnuser.

CVE-2026-93616 — Pre-auth path traversal в веб-сервисе Management Server с последующим выполнением скриптов. Живой zero-day аж с 23 июля.

Исправления для 85102: Jumbo HF R81.20 Take 166, R82 Take 126, R82.10 Take 44, R81.10 Take 190; LivePatch Take 26; Spark R82.00.10 Build 2325 / R81.10.17 Build 4968.

🛠 Как быстро проверить свои версии
Bash

# NetScaler — смотрим билд
show ns version

# Check Point — версия и накатанные хотфиксы
fw ver
cpinfo -y all

🛡 ПЛАН ДЕЙСТВИЙ (строго в таком порядке!)
Сначала дампы, потом патчи. На NetScaler до перезагрузки и обновления снимите дамп памяти и выгрузите логи минимум за последний месяц. После апдейта артефакты затрет, расследовать инцидент будет не по чему.

Грепаем логи NetScaler на следы: ищите base64-пейлоады сразу после User-Agent, а также паттерны pitboss + IFS и pitboss*b64decode.

Изолируем Check Point Management: веб-морда управления должна быть доступна исключительно из изолированной mgmt-сети. Пока нет хотфикса под 93616 — это единственный рабочий барьер.

Если Check Point нельзя пропатчить на лету: вырубайте implied rules для VPN; для Site-to-Site жестко режьте входящие IP пиров на UDP/500 и UDP/4500.

Пост-обработка: после установки патчей на обоих вендорах принудительно дропайте все активные сессии и инициируйте смену паролей для всех учетных записей, авторизовавшихся через эти шлюзы.

Важно понимать: апдейт после пары месяцев эксплуатации 0-day шлюза не делает его автоматически «чистым». Если уязвимый инстанс торчал в интернет всё это окно — считаем его скомпрометированным по умолчанию, пока форензика не докажет обратное.

Периметр, стоявший открытым неделями, сначала расследуют, а уже потом обновляют. Не наступайте на грабли.

#alert #security #citrix #netscaler #checkpoint #vpn #cve #kev #sysadmin #admin_future