Przepełnienie pamięci w NetScaler ADC i Gateway w roli bramy lub serwera AAA zatrzymuje urządzenie i odcina pracę zdalną. CISA potwierdza ataki. Sprawdź wersję i rolę urządzenia i zaktualizuj je.
Ten alert jest dla zarządu, CTO i CFO firm, które udostępniają pracę zdalną przez urządzenia Citrix NetScaler ADC lub NetScaler Gateway. Werdykt: jeśli NetScaler pełni rolę bramy (VPN, ICA Proxy, CVPN, RDP Proxy) lub serwera uwierzytelniania AAA i ma wersję sprzed poprawki (np. 14.1-47.46 albo 13.1-59.19), zaktualizuj go dziś, bo CISA potwierdza wykorzystanie tej luki.
Amerykańska agencja CISA 30 czerwca 2025 roku dopisała podatność CVE-2025-6543 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy urządzeń Citrix NetScaler ADC i NetScaler Gateway, które stoją na styku firmowej sieci z internetem i wpuszczają do środka pracowników spoza biura.
To przepełnienie pamięci: spreparowane dane przysłane do urządzenia wychodzą poza przewidziany obszar i zaburzają dalsze działanie programu, co prowadzi do zatrzymania usługi. Warunkiem jest określona rola urządzenia: brama (VPN, ICA Proxy, CVPN, RDP Proxy) albo wirtualny serwer uwierzytelniania AAA. NetScaler pełniący wyłącznie rolę rozkładacza ruchu nie jest podatny.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 21 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-6543 (biuletyn Citrix CTX694788) |
Data dodania do CISA KEV | 2025-06-30 |
Termin naprawy wg CISA | 2025-07-21 (21 dni od wpisu) |
Produkt | Citrix (NetScaler) ADC i NetScaler Gateway |
Wersje zagrożone | Gałąź 14.1 przed 14.1-47.46; gałąź 13.1 przed 13.1-59.19; wydania FIPS i NDcPP gałęzi 13.1 przed 13.1-37.236. Tylko przy roli bramy (VPN, ICA Proxy, CVPN, RDP Proxy) lub serwera AAA |
Wersje bezpieczne | 14.1-47.46 i nowsze; 13.1-59.19 i nowsze; dla FIPS/NDcPP gałęzi 13.1: 13.1-37.236. Wersje 12.1 i 13.0 są bez wsparcia i należy je wymienić na wspieraną gałąź |
Typ podatności | Przepełnienie pamięci prowadzące do zaburzenia przebiegu działania i zatrzymania usługi; CWE-119 |
Ocena CVSS | Citrix: 9.2 KRYTYCZNA (CVSS 4.0, atak trudny). NVD: 9.8 KRYTYCZNA (CVSS 3.1, atak łatwy, pełny wpływ na poufność, integralność i dostępność) |
Wyobraź sobie formularz na bramce wjazdowej z rubryką na czterdzieści znaków. Ochroniarz przepisuje wszystko, co ktoś w niej wpisze. Gdy ktoś wpisze sto znaków, nadmiar wychodzi poza rubrykę i nadpisuje sąsiednie pole, w którym była instrukcja „wpuścić czy nie”. Formularz nadal wygląda na wypełniony, ale instrukcja dla ochroniarza już brzmi inaczej.
NetScaler to takie urządzenie na styku firmy z internetem, przez które pracownicy logują się do pracy zdalnej. Przy podatnej wersji i odpowiedniej roli spreparowane dane wychodzą poza przewidziany obszar pamięci i zaburzają działanie urządzenia, aż do jego zatrzymania. A gdy zatrzyma się brama, przestają pracować wszyscy zalogowani zdalnie naraz.
💡 NetScaler ADC/Gateway to urządzenie brzegowe, które rozkłada ruch i wpuszcza pracowników zdalnych do firmowej sieci. Brama (Gateway) to rola urządzenia obsługująca VPN i zdalny pulpit. Serwer AAA to rola odpowiedzialna za uwierzytelnianie. Przepełnienie pamięci (bufora) to błąd, w którym za duże dane nadpisują sąsiedni obszar. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik loguje się do VPN | Brama wpuszcza po uwierzytelnieniu | Tak samo, gdy urządzenie jest zaktualizowane |
Spreparowane dane do bramy | Odrzucone | Zaburzają działanie i zatrzymują usługę |
NetScaler w roli bramy lub AAA | Działa poprawnie | Podatny na atak |
NetScaler tylko jako rozkładacz ruchu | Działa poprawnie | Nie spełnia warunku, luka go nie dotyczy |
Praca zdalna całej firmy | Działa | Może zostać odcięta jednym atakiem |
źródło: Citrix netscalerPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Urządzenia brzegowe są z natury dostępne z internetu, więc atak nie wymaga wcześniejszego dostępu do firmy, ale działa tylko na urządzeniu w podatnej roli. CISA oceniła, że atak nie jest w pełni automatyzowalny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie bram NetScaler i ustalanie wersji oraz roli | Lista potencjalnych celów |
2. Przygotowanie | T+godziny | Przygotowanie danych przepełniających bufor | Gotowy pakiet ataku |
3. Atak na dostępność | T+minuty | Wysłanie danych zatrzymujących usługę | Brama przestaje działać, praca zdalna odcięta |
4. Wariant poważniejszy | T+minuty do godzin | Wykorzystanie zaburzonego przebiegu działania do przejęcia kontroli (szeroki odczyt skutku wg NVD) | Dostęp do danych sesji i ruchu przed rozszyfrowaniem |
5. Kradzież sesji | T+godziny | Odczyt danych zalogowanych użytkowników i tokenów sesji | Możliwość podszycia się pod pracowników |
6. Dalsze wejście | T+dni | Wykorzystanie sesji i danych do wejścia do sieci wewnętrznej | Szersze włamanie |
Mogę Ci jakoś pomóc?
Brama zdalnego dostępu to pojedynczy punkt, przez który pracuje cała firma spoza biura. Jej zatrzymanie odcina wszystkich naraz, a przy szerszym wykorzystaniu luki napastnik widzi ruch przed rozszyfrowaniem i dane sesji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odcięcie pracowników zdalnych od wszystkich systemów naraz | Minuty od ataku | 30 tys. do 400 tys. PLN (przestój wielu osób, przesunięte terminy) |
Bezpieczeństwo danych | Przy szerszym wykorzystaniu: wyciek danych sesji, ruchu, tokenów logowania | Godziny | 30 tys. do 250 tys. PLN (analiza powłamaniowa, unieważnienie sesji) |
Finansowy | Straty z przestoju, koszty specjalistów, możliwy okup przy dalszym ataku | Dni do tygodni | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Klienci i partnerzy tracą kontakt z firmą podczas przestoju | Dni | 30 tys. do 300 tys. PLN (utracone zamówienia) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla NetScaler ADC/Gateway bez poprawki,
w roli bramy lub serwera AAA
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest bardzo wysoki (odcięcie całej pracy zdalnej, a przy szerszym wykorzystaniu dostęp do danych sesji), a prawdopodobieństwo wysokie, ale nie najwyższe, bo urządzeń tego typu jest w internecie mniej niż komputerów i atak działa tylko przy określonej roli; kto ma podatną bramę, i tak jest celem.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma NetScaler ADC lub Gateway, w jakiej wersji i w jakiej roli (brama, AAA) | Dziś | CTO / administrator |
2 | 🔴 NATYCHMIAST | Sprawdzić własny numer wersji, także dla wydań FIPS/NDcPP (osobny próg 13.1-37.236) | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaplanować i wykonać aktualizację do wersji z poprawką dla swojej gałęzi | Do 2 dni | Administrator / partner Citrix |
4 | 🔴 NATYCHMIAST | Po aktualizacji unieważnić aktywne sesje (zgodnie z zaleceniami producenta dla powiązanych luk NetScaler), bo sesje sprzed poprawki mogły zostać przejęte | Do 2 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić, czy panel administracyjny bramy jest dostępny z internetu, i ograniczyć go | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Przejrzeć logi urządzenia pod kątem restartów i nietypowych żądań od czerwca 2025 roku | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wymienić urządzenia na wersjach bez wsparcia (12.1, 13.0) na wspierane | Do 30 dni | CTO / CFO |
Producent wydał poprawki dla wspieranych gałęzi, a wersje bez wsparcia trzeba wymienić. Do czasu okna serwisowego ryzyko ograniczają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Aktualizacja do wersji z poprawką (jedyne pełne rozwiązanie wg producenta) | Bardzo wysoka | Średnia: wymaga przerwy w pracy zdalnej |
Ograniczenie dostępu do panelu administracyjnego z internetu | Średnia: nie usuwa luki w usłudze bramy, ale zmniejsza powierzchnię ataku | Średnia |
Ograniczenie dostępu do bramy do znanych sieci, jeśli pozwala na to model pracy | Średnia: często niemożliwe, bo pracownicy łączą się z różnych miejsc | Trudna |
Monitorowanie dostępności i restartów urządzenia | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Obsługa danych wejściowych | Przepełnienie bufora możliwe | Poprawione w wersji z poprawką |
Praca zdalna | Może zostać odcięta jednym atakiem | Chroniona |
Sesje użytkowników | Mogły zostać przejęte | Unieważnione i odtworzone po aktualizacji |
Panel administracyjny | Często dostępny z internetu | Ograniczony do zaufanych adresów |
Wersje bez wsparcia | W użyciu | Wymienione na wspierane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, skutek techniczny jako całkowity, atak jako nie w pełni automatyzowalny |
Grupy przestępcze | Brak publicznych informacji dla tej luki |
Kampanie ransomware | Brak potwierdzenia dla CVE-2025-6543 (CISA: Unknown). Powiązana luka CVE-2025-5777 w tych samych produktach ma status Known |
Ocena CVSS | 9.2 KRYTYCZNA wg Citrix (CVSS 4.0); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | CVE-2025-5777 (out-of-bounds read) w tych samych produktach, dodana do KEV 10 lipca 2025, ransomware: Known |
Prognoza EPSS | Około 10% szansy próby wykorzystania w 30 dni, górne 5% wszystkich podatności (wg analizy źródłowej) |
Różnica 9.2 i 9.8 dotyczy oceny trudności ataku: Citrix uznał go za trudny, NVD za łatwy. Katalog CISA opisuje skutek jako zatrzymanie usługi, a NVD zakłada też utratę poufności i integralności, więc rozsądnie jest przygotować się na oba scenariusze.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-6543
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (Citrix) 9.2/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) ~10% ██░░░░░░░░░░░░░░░░░░ top 5%
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-06-25 Publikacja CVE-2025-6543 w NVD; biuletyn Citrix CTX694788
2025-06-30 CISA dodaje CVE-2025-6543 do katalogu KEV
2025-07-10 CISA dodaje powiązaną CVE-2025-5777 (ransomware: Known)
2025-07-21 Termin naprawy wg CISA dla CVE-2025-6543
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami: Citrix CTX694788 . Komunikat NetScaler o krytycznych aktualizacjach: netscaler.com, CVE-2025-6543 i CVE-2025-5777 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-6543 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma NetScaler i w jakiej roli pracuje | CTO | DZISIAJ |
2 | Uzyskać dokładny numer wersji, także dla wydań FIPS/NDcPP | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na aktualizację i decyzję o rozłączeniu pracowników zdalnych | CTO | DZISIAJ |
4 | Zlecić unieważnienie sesji po aktualizacji i przegląd logów | CTO | DO JUTRA |
5 | Sprawdzić, kto utrzymuje urządzenie i czy umowa obejmuje aktualizacje bezpieczeństwa | CFO | DO JUTRA |
6 | Zaplanować wymianę urządzeń na wersjach bez wsparcia | CFO | DO JUTRA |
7 | Sprawdzić powiązaną lukę CVE-2025-5777 na tych samych urządzeniach | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy urządzenia Citrix NetScaler ADC lub Gateway? | TAK / NIE | 🔴 |
2 | W jakiej roli pracują (brama VPN, ICA/RDP Proxy, CVPN, serwer AAA)? | [role] | 🔴 |
3 | Jaka jest dokładna wersja każdego urządzenia (uwzględniając FIPS/NDcPP)? | [wersje] | 🔴 |
4 | Kiedy zaktualizowano je do wersji z poprawką? | [data] | 🔴 |
5 | Czy po aktualizacji unieważniono aktywne sesje? | TAK / NIE | 🟠 |
6 | Czy panel administracyjny bramy jest dostępny z internetu? | TAK / NIE | 🟠 |
7 | Czy używamy powiązanej wersji podatnej też na CVE-2025-5777? | TAK / NIE | 🟡 |
CVE-2025-6543 pozwala zatrzymać bramę Citrix NetScaler, przez którą pracuje cała firma zdalnie, a przy szerszym wykorzystaniu sięgnąć po dane sesji użytkowników. CISA potwierdza ataki, więc sprawdzenie wersji i roli urządzenia oraz aktualizacja do wersji z poprawką to zadanie na dziś, wraz z unieważnieniem sesji.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.