Błąd w NetScaler ADC i Gateway pozwala bez logowania wyciągać fragmenty pamięci bramy zdalnego dostępu. CISA potwierdza ransomware i dała 1 dzień na naprawę. Zaktualizuj i zakończ sesje dziś.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy łączą się z domu lub z delegacji przez Citrix NetScaler Gateway albo NetScaler ADC. Werdykt: jeśli urządzenie działa jako brama zdalnego dostępu lub serwer uwierzytelniania na wersji sprzed poprawek z 17 czerwca 2025 roku, zaktualizuj je dziś i zakończ wszystkie aktywne sesje, bo luka wycieka dane z pamięci urządzenia i jest używana w atakach ransomware.
Amerykańska agencja CISA 10 lipca 2025 roku dopisała CVE-2025-5777 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Citrix NetScaler ADC i NetScaler Gateway, urządzeń stojących na styku firmowej sieci z internetem. Przy konfiguracji jako brama (serwer VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer uwierzytelniania AAA urządzenie za słabo sprawdza dane wejściowe i odsyła napastnikowi fragmenty własnej pamięci, bez logowania.
CISA dała agencjom federalnym na naprawę tylko jeden dzień, do 11 lipca 2025 roku, zamiast zwyczajowych trzech tygodni. Pole ransomware w katalogu ma wartość potwierdzającą. Producent wydał poprawki w dniu ujawnienia luki, 17 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-5777 |
Data dodania do CISA KEV | 2025-07-10 |
Termin naprawy wg CISA | 2025-07-11 (1 dzień od wpisu) |
Produkt | Citrix NetScaler ADC i NetScaler Gateway |
Wersje zagrożone | 14.1 przed 14.1-43.56; 13.1 przed 13.1-58.32; 13.1-FIPS i 13.1-NDcPP przed 13.1-37.235; 12.1-FIPS przed 12.1-55.328. Wersje 12.0 i 13.0 są po końcu wsparcia i nie dostaną poprawek. Warunek: urządzenie skonfigurowane jako brama (VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer AAA |
Wersje bezpieczne | 14.1-43.56 i nowsze; 13.1-58.32 i nowsze; 13.1-37.235 i nowsze (FIPS, NDcPP); 12.1-55.328 i nowsze (FIPS). Wersje 12.0 i 13.0 trzeba przenieść na wspieraną gałąź. Po aktualizacji producent zaleca zakończenie aktywnych sesji ICA i PCoIP |
Typ podatności | Odczyt pamięci poza zakresem (wyciek danych z pamięci); CWE-125 wg producenta, CWE-908 wg NVD, CWE-457 wg CISA |
Ocena CVSS | Citrix: 9.3 (CVSS 4.0, KRYTYCZNA). NVD: 7.5 (CVSS 3.1, WYSOKA; tylko utrata poufności). Obie: atak przez sieć, niska złożoność, bez konta i bez udziału użytkownika |
Trzy instytucje nazwały błąd trzema nazwami, a oceny różnią się o prawie dwa punkty. Różnica bierze się z tego, czy wyczytane z pamięci dane uznaje się tylko za podgląd, czy za drogę do dalszego ataku. Dla decyzji biznesowej rozsądnie jest przyjąć wyższą ocenę producenta.
Wyobraź sobie sekretariat, który drukuje odpowiedzi na makulaturze, czyli na odwrocie już użytych kartek. Odpowiedź na zapytanie klienta ma trzy linijki, ale na drugiej stronie kartki jest fragment cudzej umowy. Wysyłka jest mechaniczna i nikt nie sprawdza rewersu. Jedna kartka to przypadkowy skrawek. Tysiąc kartek to już spory kawałek archiwum.
Tak działa ta luka. Urządzenie przygotowuje krótką odpowiedź w kawałku pamięci, nie czyści reszty i odsyła całość. Napastnik wysyła tysiące zapytań i zbiera skrawki pamięci, a przez bramę zdalnego dostępu przechodzi wszystko, co robią zdalni pracownicy. Z zewnątrz wygląda to jak zwykły ruch do strony logowania.
💡 Brama zdalnego dostępu (Gateway, VPN) to urządzenie, przez które pracownik spoza biura łączy się z systemami firmy. Serwer AAA zajmuje się uwierzytelnianiem, czyli sprawdzaniem tożsamości. Odczyt poza zakresem to błąd, w którym program sięga po dane leżące za wyznaczoną granicą w pamięci. Sesja to aktywne, zalogowane połączenie użytkownika; jej przejęcie może dać dostęp bez hasła.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zapytanie do strony logowania bramy | Urządzenie odsyła tylko odpowiedź | Razem z odpowiedzią wychodzą fragmenty pamięci |
Pracownik zalogowany z domu | Jego sesja jest znana tylko jemu i urządzeniu | Dane sesji mogą trafić do napastnika w wycieku z pamięci |
Tysiące zapytań od jednego nadawcy | Rzadkość, nikt ich nie analizuje | Napastnik zbiera skrawek po skrawku |
Raporty i alarmy | Brak zdarzeń | Nadal brak zdarzeń, urządzenie „działa poprawnie” |
Po samej aktualizacji | Sprawa zamknięta | Wcześniej wykradzione sesje mogą nadal działać, dopóki ich nie zakończysz |
źródło: Pexels, ZelihaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani udziału pracownika, a CISA ocenia go jako automatyzowalny, o całkowitym skutku technicznym. Brama z definicji jest widoczna z internetu, więc nie da się jej po prostu schować za zaporą.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie bram NetScaler i ustalanie wersji | Lista podatnych urządzeń |
2. Wyciek pamięci | T+minuty | Wysyłanie tysięcy spreparowanych zapytań do strony logowania | Fragmenty pamięci urządzenia u napastnika |
3. Przejęcie sesji | T+godziny | Wyszukanie w zebranych danych informacji o sesjach zalogowanych użytkowników | Dostęp do bramy jako pracownik, z pominięciem hasła |
4. Wejście do sieci | T+godziny do dni | Połączenie z systemami wewnętrznymi przez przejętą sesję | Napastnik w sieci firmy |
5. Ransomware | T+dni do tygodni | Kradzież danych, szyfrowanie serwerów, żądanie okupu | Przestój i szantaż |
Mogę Ci jakoś pomóc?
Brama zdalnego dostępu to drzwi wejściowe firmy. Wyciek z jej pamięci nie zostawia śladów w typowych raportach, a przejęta sesja pozwala wejść bez hasła i drugiego składnika logowania. Jeden dzień na naprawę wyznaczony przez CISA i potwierdzone użycie w ransomware to rzadko spotykane połączenie sygnałów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery, zatrzymana praca zdalna i biurowa | Dni do tygodni od przejęcia sesji | 80 tys. do 600 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych sesji i danych logowania, dostęp do systemów wewnętrznych | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Żądanie okupu, koszty specjalistów, utracone zlecenia | Tygodnie | 150 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, pytania partnerów i ubezpieczyciela | Miesiące | 50 tys. do 800 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla NetScaler jako brama lub serwer AAA
bez poprawek z 17.06.2025
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (atak bez logowania, automatyzowalny, EPSS ponad 99,9%, termin CISA 1 dzień), a wpływ krytyczny, bo przejęte sesje otwierają drogę do ransomware; urządzenie w innej konfiguracji niż brama lub AAA nie jest objęte luką.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Odczytać z urządzenia dokładny numer wersji, gałąź (14.1, 13.1, 12.1) i odmianę (zwykła, FIPS, NDcPP) | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy urządzenie działa jako brama (VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer AAA | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować do wersji z poprawką dla swojej gałęzi i odmiany | Dziś | Administrator sieci / partner Citrix |
4 | 🔴 NATYCHMIAST | Po aktualizacji zakończyć wszystkie aktywne sesje ICA i PCoIP zgodnie z zaleceniem producenta | Dziś, zaraz po aktualizacji | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć logi bramy od czerwca 2025 roku pod kątem nietypowo licznych zapytań do strony logowania i sesji z nieznanych adresów | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Wymienić urządzenia z gałęzią 12.0 lub 13.0 albo przenieść je na wspieraną gałąź | Do 14 dni | CTO |
7 | 🟡 WAŻNIE | Włączyć przechowywanie logów bramy przez kilka miesięcy i alarm przy nietypowym ruchu | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich wspieranych gałęzi, więc docelowo trzeba je wgrać. Wersje 12.0 i 13.0 poprawki nie dostaną. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Czasowe wyłączenie funkcji bramy lub AAA na podatnym urządzeniu | Wysoka: usuwa warunek podatności | Łatwa technicznie, ale odcina pracę zdalną |
Ograniczenie dostępu do bramy do znanych adresów lub krajów | Średnia: zmniejsza grono napastników, nie usuwa luki | Średnia |
Zakończenie aktywnych sesji i wymuszenie ponownego logowania | Średnia: unieważnia wcześniej przejęte sesje, nie zatrzymuje wycieku | Łatwa |
Monitorowanie liczby zapytań do strony logowania | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja NetScaler | Sprzed poprawek z 17 czerwca 2025 roku | 14.1-43.56, 13.1-58.32 lub odpowiednia wersja FIPS/NDcPP |
Aktywne sesje | Mogą być przejęte | Zakończone, użytkownicy zalogowani ponownie |
Urządzenia po końcu wsparcia | Gałąź 12.0 lub 13.0 w użyciu | Wymienione lub przeniesione na wspieraną gałąź |
Widoczność ataku | Brak zapisów o zapytaniach do logowania | Logi i alarm przy nietypowym ruchu |
Zgodność z terminem CISA | Zaległość od 11 lipca 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA oznaczająca wykorzystanie jako aktywne nosi datę 17 czerwca 2025 roku; producent 26 czerwca pisał, że nie zna dowodów wykorzystania |
Grupy przestępcze | Brak publicznych informacji w komunikatach producenta i CISA |
Kampanie ransomware | TAK (CISA KEV: Known) |
Ocena CVSS | 9.3 KRYTYCZNA wg Citrix (CVSS 4.0); 7.5 WYSOKA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Opisy techniczne opublikowały m.in. watchTowr Labs i Horizon3.ai (odnośniki w NVD); ich treści nie weryfikowaliśmy |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena CISA | Wykorzystanie aktywne, atak automatyzowalny, skutek techniczny całkowity |
Prognoza EPSS | Ponad 99,9% szansy prób wykorzystania w 30 dni (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-5777
CVSS 4.0 (Citrix) 9.3/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) >99,9% ████████████████████ MAKSYMALNA
Termin CISA 1 dzień ████████████████████ tryb natychmiastowy
Ransomware (CISA) Known ████████████████████ używana
Mogę Ci jakoś pomóc?
2025-06-06 Rezerwacja numeru CVE
2025-06-17 Citrix publikuje biuletyn i poprawki; publikacja CVE-2025-5777
2025-06-17 Data oceny CISA: wykorzystanie aktywne, atak automatyzowalny
2025-06-26 Producent: brak znanych dowodów wykorzystania
2025-07-10 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-07-11 Termin naprawy wg CISA (1 dzień)
2026-08-04 Ostatnia aktualizacja wpisu w NVD
... ponad 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: support.citrix.com, CTX693420 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-5777 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub jej dostawca używa NetScaler jako bramy zdalnego dostępu | CTO | DZISIAJ |
2 | Uzyskać dokładny numer wersji z urządzenia, z gałęzią i odmianą | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i zakończenie sesji, nawet kosztem krótkiej przerwy w pracy zdalnej | CTO | DZISIAJ |
4 | Zlecić przegląd logów bramy od czerwca 2025 roku | CTO | DO JUTRA |
5 | Zarezerwować budżet na wymianę urządzeń po końcu wsparcia i ewentualną analizę powłamaniową | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka dokładnie wersja, gałąź i odmiana NetScaler działa na naszym urządzeniu? | [wersja] | 🔴 |
2 | Czy urządzenie działa jako brama (VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer AAA? | TAK / NIE | 🔴 |
3 | Kiedy wgrano poprawkę dla CVE-2025-5777? | [data] | 🔴 |
4 | Czy po aktualizacji zakończono wszystkie aktywne sesje ICA i PCoIP? | TAK / NIE | 🔴 |
5 | Czy mamy urządzenia z gałęzią 12.0 lub 13.0? | TAK / NIE | 🟠 |
6 | Czy logi bramy od czerwca 2025 roku zostały przejrzane? | TAK / NIE | 🟠 |
7 | Jak długo przechowujemy logi połączeń zdalnych? | [liczba dni] | 🟡 |
CVE-2025-5777 pozwala bez logowania wyciągać dane z pamięci Citrix NetScaler działającego jako brama lub serwer AAA, w tym informacje umożliwiające przejęcie sesji. CISA potwierdza użycie w ransomware i dała na naprawę jeden dzień, więc aktualizacja do wersji z poprawką i zakończenie wszystkich sesji to zadanie na dziś, a przegląd logów na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.