Przepełnienie pamięci w NetScaler ADC i Gateway pozwala bez logowania wykonać kod na urządzeniu. Citrix i CISA potwierdzają ataki, obejść nie ma. Sprawdź konfigurację i zaktualizuj urządzenie natychmiast.
Ten alert jest dla zarządu, CTO i CFO firm, które wpuszczają pracowników do sieci lub rozkładają ruch na serwery przez urządzenia Citrix NetScaler ADC lub NetScaler Gateway. Werdykt: jeśli Twój NetScaler działa na wydaniu bez poprawki z sierpnia 2025 roku, zaktualizuj go natychmiast, bo obejść nie ma, a ataki potwierdzono w dniu publikacji luki.
Amerykańska agencja CISA 26 sierpnia 2025 roku, w dniu publikacji luki, dopisała podatność CVE-2025-7775 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Wyznaczyła przy tym wyjątkowo krótki termin naprawy: dwa dni, zamiast standardowych trzech tygodni. Błąd to przepełnienie pamięci w NetScaler ADC i Gateway, prowadzące do zdalnego wykonania kodu lub zatrzymania usługi.
Citrix potwierdza wykorzystanie luki na urządzeniach bez poprawki i stwierdza, że obejść ani czynników łagodzących nie ma. Termin CISA minął 28 sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-7775 |
Data dodania do CISA KEV | 2025-08-26 |
Termin naprawy wg CISA | 2025-08-28 (2 dni od wpisu) |
Produkt | Citrix NetScaler ADC i NetScaler Gateway (w tym wydania FIPS i NDcPP) |
Wersje zagrożone | 14.1 przed 14.1-47.48, 13.1 przed 13.1-59.22, 13.1-FIPS i 13.1-NDcPP przed 13.1-37.241, 12.1-FIPS i 12.1-NDcPP przed 12.1-55.330, a także niewspierane wydania 12.1 i 13.0. Podatne tylko przy jednej z konfiguracji: brama (serwer wirtualny VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer AAA; serwer wirtualny LB typu HTTP, SSL lub HTTP_QUIC powiązany z usługami lub serwerami IPv6 (także bazodanowymi DBS); serwer CR typu HDX |
Wersje bezpieczne | 14.1-47.48, 13.1-59.22, 13.1-37.241 (FIPS i NDcPP), 12.1-55.330 (FIPS i NDcPP) lub nowsze. Zwykłe wydania 12.1 i 13.0 nie dostaną poprawki: konieczne przejście na wspieraną linię |
Typ podatności | Przepełnienie pamięci; CWE-119 |
Ocena CVSS | Citrix: 9.2 KRYTYCZNA (CVSS 4.0, atak trudny, z dodatkowymi warunkami). NVD: 9.8 KRYTYCZNA (CVSS 3.1, atak łatwy). Obie: przez sieć, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie recepcję biurowca, przez którą przechodzą wszyscy goście i pracownicy z zewnątrz. Recepcjonista ma formularz z polami o określonej długości. Ktoś odkrył, że jeśli wpisze w jedno pole zbyt długi tekst w odpowiednim formacie, nadmiar „wylewa się” na biurko recepcjonisty i zamienia w polecenia, które ten wykonuje. Nie trzeba przepustki ani znajomości kogokolwiek w firmie.
NetScaler jest właśnie taką recepcją: przez niego pracownicy łączą się z domu, a ruch z internetu trafia do serwerów firmy. Przepełnienie pamięci oznacza, że urządzenie przyjmuje więcej danych, niż przewidziano, a nadmiar może nadpisać pamięć i uruchomić kod napastnika. Kto przejmie takie urządzenie, stoi w samym środku drogi między internetem a firmą.
💡 NetScaler ADC rozkłada ruch na serwery aplikacji, a NetScaler Gateway wpuszcza pracowników do sieci firmy z zewnątrz (VPN, dostęp do pulpitów). Przepełnienie pamięci to błąd, w którym dane wychodzą poza przeznaczony im obszar. IPv6 to nowszy typ adresów w sieci. FIPS i NDcPP to certyfikowane wersje urządzeń dla sektora publicznego. Obejście (workaround) to tymczasowa zmiana ustawień zamiast poprawki; tu go brak.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik łączy się z domu przez bramę | Loguje się i pracuje | Tak samo, a jednocześnie obca osoba może przejąć bramę |
Dwie firmy z tym samym modelem i wersją | Jednakowe ryzyko | Zagrożona ta, która ma pasującą konfigurację, np. serwery z adresami IPv6 |
Brak obejścia | Można czasowo wyłączyć funkcję | Jedyne wyjście to aktualizacja |
Urządzenie na wydaniu 12.1 lub 13.0 | Działa | Nie dostanie poprawki |
Ruch do serwerów firmy | Przechodzi bezpiecznie | Może być podsłuchany lub przekierowany |
źródło: Wygenerowane przez GPTPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia wykorzystanie jako aktywne, ze skutkiem technicznym całkowitym, ale bez pełnej automatyzacji: napastnik musi trafić w urządzenie o pasującej konfiguracji, więc ataki są raczej celowane niż masowe.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie urządzeń NetScaler w internecie i rozpoznanie ich roli (brama, AAA, równoważenie obciążenia) | Lista celów |
2. Wykorzystanie | T+minuty do godzin | Wysłanie spreparowanego ruchu wywołującego przepełnienie pamięci | Kod napastnika na urządzeniu lub jego zatrzymanie |
3. Utrwalenie | T+godzina | Instalacja ukrytego dostępu na urządzeniu | Dostęp przetrwa restart i zmianę haseł |
4. Przechwytywanie | T+godziny do dni | Przechwytywanie sesji i danych logowania pracowników przechodzących przez bramę | Konta pracowników w rękach napastnika |
5. Wejście do sieci | T+dni | Ruch do serwerów wewnętrznych z przejętego urządzenia | Dostęp do systemów firmy |
6. Uderzenie | T+dni do tygodni | Kradzież danych, szyfrowanie serwerów | Wyciek i przestój |
NetScaler stoi na granicy firmy i widzi ruch wszystkich pracowników pracujących z zewnątrz. Brak obejścia oznacza, że o bezpieczeństwie decyduje wyłącznie szybkość aktualizacji, a więc umowa z dostawcą IT, dostępność osób zatwierdzających przerwę techniczną i to, czy urządzenie jest na wspieranej wersji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie zdalnego dostępu i aplikacji za urządzeniem, pilna migracja wersji | Godziny do dni | 30 tys. do 250 tys. PLN (przestój, prace awaryjne) |
Bezpieczeństwo danych | Przechwycenie danych logowania i sesji, dostęp do sieci wewnętrznej | Godziny od ataku | 40 tys. do 250 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Okup, utracona sprzedaż, nadgodziny i zewnętrzni specjaliści | Tygodnie | 100 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Klienci i partnerzy dowiadują się o włamaniu przez urządzenie brzegowe | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z NetScaler w podatnej konfiguracji
i bez poprawki
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo przejęcie urządzenia brzegowego otwiera drogę do całej sieci; prawdopodobieństwo jest wysokie, a nie maksymalne, bo luka wymaga określonej konfiguracji i ataki są celowane. Firma z NetScalerem w konfiguracji spoza czterech warunków jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję każdego urządzenia NetScaler ADC i Gateway | Dziś | Administrator / dostawca IT |
2 | 🔴 NATYCHMIAST | Sprawdzić w konfiguracji, czy spełniony jest któryś z czterech warunków podatności (brama/AAA, LB z IPv6, LB z DBS IPv6, CR typu HDX) | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować do 14.1-47.48, 13.1-59.22, 13.1-37.241 lub 12.1-55.330 (FIPS/NDcPP) albo nowszych | Dziś | Administrator / dostawca IT |
4 | 🔴 NATYCHMIAST | Dla wydań 12.1 i 13.0: zatwierdzić natychmiastowe przejście na wspieraną linię | Dziś | Zarząd / CTO |
5 | 🟠 PILNIE | Sprawdzić urządzenia pod kątem śladów włamania i nieznanych plików od sierpnia 2025 roku | Do 3 dni | Zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zakończyć aktywne sesje i zmienić hasła kont administracyjnych po aktualizacji | Do 3 dni | Administrator |
7 | 🟠 PILNIE | Sprawdzić, czy zainstalowano także poprawki pozostałych luk z tego samego biuletynu Citrix | Do 7 dni | Administrator |
8 | 🟡 WAŻNIE | Uzupełnić umowę z dostawcą IT o czas reakcji na incydenty bezpieczeństwa, także w weekendy | Do 30 dni | CFO |
Citrix wprost stwierdza, że nie ma obejść ani czynników łagodzących, a jedynym środkiem jest aktualizacja. Dla niewspieranych wydań 12.1 i 13.0 poprawki nie będzie. Poniższe miary nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zmiana konfiguracji tak, by nie spełniała warunków podatności (np. rezygnacja z powiązań z usługami IPv6), jeśli to możliwe biznesowo | Średnia do wysokiej dla danego warunku, niezalecana przez producenta jako rozwiązanie | Trudna, wymaga analizy |
Ograniczenie dostępu do interfejsów urządzenia do znanych adresów | Niska do średniej: brama z natury musi być dostępna z internetu | Średnia |
Wzmożone monitorowanie urządzenia i ruchu z niego do sieci wewnętrznej | Niska jako ochrona, przydatna do wykrycia | Średnia |
Czasowe wyłączenie podatnej funkcji (np. bramy) do czasu aktualizacji | Wysoka | Łatwa technicznie, zatrzymuje pracę zdalną |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja urządzenia | Bez poprawki lub niewspierana | Wydanie z poprawką na wspieranej linii |
Wiedza o konfiguracji | Nieznane, czy spełnia warunki | Sprawdzona i udokumentowana |
Ślady włamania | Niesprawdzone | Urządzenie sprawdzone, hasła i sesje odnowione |
Czas reakcji dostawcy IT | Jeden dzień roboczy | Reakcja na incydenty także poza godzinami pracy |
Status wobec terminu CISA | Zaległość od 28 sierpnia 2025 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Citrix potwierdza ataki na urządzenia bez poprawki. Ocena CISA: aktywne, bez pełnej automatyzacji, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.2 KRYTYCZNA wg Citrix (CVSS 4.0); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Inne luki w tym samym biuletynie | Citrix opisał tego dnia trzy luki tych urządzeń; niemiecki CERT-Bund wydał 26 sierpnia 2025 roku wspólne ostrzeżenie |
Prognoza EPSS | Około 20%, górne 3% wszystkich znanych luk (wg analizy źródłowej); urządzeń jest mało, ale łatwo je znaleźć |
Sygnały zagrożenia dla CVE-2025-7775
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (Citrix) 9.2/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) ~20% ████░░░░░░░░░░░░░░░░ górne 3% luk
CISA KEV TAK ████████████████████ ataki w dniu publikacji
Obejścia BRAK ████████████████████ tylko aktualizacja 2025-08-26 Biuletyn Citrix CTX694938, publikacja CVE w NVD,
CISA dodaje lukę do KEV, ostrzeżenie CERT-Bund
2025-08-27 CISA ocenia wykorzystanie jako aktywne
2025-08-28 Termin naprawy wg CISA (2 dni)
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 12 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z wersjami: Citrix CTX694938 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-7775 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca IT używa NetScaler ADC lub Gateway | CTO | DZISIAJ |
2 | Uzyskać na piśmie wersję każdego urządzenia i informację o konfiguracji (brama, IPv6, HDX) | CTO | DZISIAJ |
3 | Zatwierdzić przerwę techniczną na aktualizację, także poza godzinami pracy | CTO | DZISIAJ |
4 | Dla wydań 12.1 i 13.0 zatwierdzić budżet na przejście na wspieraną linię | CFO | DO JUTRA |
5 | Zlecić sprawdzenie urządzeń pod kątem śladów włamania | CTO | DO JUTRA |
6 | Sprawdzić w umowie z dostawcą IT czas reakcji na incydenty bezpieczeństwa | CFO | DO JUTRA |
7 | Ustalić, gdzie jest kopia konfiguracji urządzenia i kto ma do niej dostęp | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie urządzenia NetScaler mamy i na jakich wersjach działają? | [model / wersja] | 🔴 |
2 | Czy któreś działa jako brama (VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer AAA? | TAK / NIE | 🔴 |
3 | Czy mamy serwery LB typu HTTP, SSL lub HTTP_QUIC powiązane z usługami IPv6? | TAK / NIE | 🔴 |
4 | Kiedy zainstalowano poprawkę z biuletynu CTX694938? | [data] | 🔴 |
5 | Czy któreś urządzenie działa na niewspieranym wydaniu 12.1 lub 13.0? | TAK / NIE | 🟠 |
6 | Czy urządzenia sprawdzono pod kątem śladów włamania po aktualizacji? | TAK / NIE, [data] | 🟠 |
7 | Kto po stronie firmy może zatwierdzić przerwę techniczną w weekend? | [osoba] | 🟡 |
CVE-2025-7775 pozwala bez logowania wykonać kod na urządzeniu Citrix NetScaler ADC lub Gateway w jednej z czterech typowych konfiguracji, a ataki potwierdzono w dniu publikacji. Obejść nie ma, termin CISA wynosił dwa dni, a wydania 12.1 i 13.0 nie dostaną poprawki, więc aktualizacja lub decyzja o migracji musi zapaść dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.