Citrix cảnh báo lỗ hổng NetScaler nghiêm trọng, điểm CVSS 9.5, yêu cầu vá khẩn cấp

Citrix vừa phát đi cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng mới trong dòng sản phẩm NetScaler, tiếp nối chuỗi sự cố bảo mật liên tiếp trong nhiều tuần qua. Lỗ hổng mang mã CVE-2026-107406 ảnh hưởng đến NetScaler ADC và NetScaler Gateway, được đánh giá ở mức 9.5 theo thang điểm CVSS v4.0 — mức cao nhất trong các lỗ hổng gần đây của Citrix.

Theo khuyến cáo từ Citrix, lỗ hổng này có thể cho phép kẻ tấn công thực thi mã từ xa (RCE) hoặc gây ra tấn công từ chối dịch vụ (DoS). Đây là mối đe dọa đặc biệt nghiêm trọng đối với các tổ chức sử dụng NetScaler làm cổng truy cập từ xa hoặc xác thực tập trung.

Cấu hình nào bị ảnh hưởng?

Mức độ ảnh hưởng phụ thuộc vào phiên bản phần mềm mà tổ chức đang sử dụng:

• Các bản build cũ hơn bị ảnh hưởng khi được cấu hình như nhà cung cấp dịch vụ SAML (SP) hoặc nhà cung cấp danh tính SAML (IdP).
• Một số bản build mới hơn chỉ bị ảnh hưởng khi cấu hình ở vai trò nhà cung cấp danh tính (IdP).
• Các triển khai Secure Private Access Hybrid sử dụng instance NetScaler cũng cần được vá.

Citrix phân loại lỗ hổng này thuộc nhóm CWE-119: hạn chế không đúng các thao tác trong bộ đệm bộ nhớ, một dạng lỗi tràn bộ đệm nguy hiểm.

Trách nhiệm vá lỗ hổng thuộc về ai?

Điểm quan trọng cần lưu ý: khách hàng phải tự cập nhật triển khai của mình. Citrix cho biết họ đã xử lý các bản cập nhật cần thiết cho dịch vụ đám mây được quản lý và Adaptive Authentication của mình, nhưng các hệ thống tự vận hành thì hoàn toàn thuộc trách nhiệm của tổ chức sở hữu.

Citrix chưa xác nhận liệu lỗ hổng này đã bị khai thác như zero-day trước khi công bố hay chưa. Tuy nhiên, công ty ghi nhận công lao phát hiện thuộc về Michael Tucker, Chew Keong Tan và Alex Bernier thuộc nhóm XOR Team của JPMorgan Chase, cùng với Maxim Suhanov.

Bối cảnh đáng lo ngại

Cảnh báo mới nhất này nằm trong chuỗi sự cố bảo mật liên tiếp của Citrix NetScaler trong thời gian gần đây:

• Các nhà nghiên cứu của Google cho biết một chiến dịch khai thác CVE-2026-88772 đã diễn ra ít nhất từ đầu tháng 9, nhắm vào các tổ chức trong lĩnh vực chính phủ, tài chính, pháp lý và giáo dục ở Bắc Mỹ và châu Âu.
• Citrix công bố lỗ hổng đó vài tuần sau đó, trong một bản phát hành vá 8 lỗ hổng cùng lúc.
• Thứ Sáu tuần trước, Citrix tiếp tục công bố lỗ hổng CVE-2026-88779 với điểm nghiêm trọng 8.7, cũng đã bị khai thác.

Cả hai lỗ hổng gần đây đều liên quan đến tràn bộ đệm ảnh hưởng đến cấu hình SAML. Tuy nhiên, lỗ hổng mới CVE-2026-107406 có điểm nghiêm trọng cao hơn, cho phép thực thi mã từ xa, và chưa được Citrix xác nhận là đã bị khai thác.

Trong bối cảnh các lỗ hổng NetScaler liên tục bị khai thác, việc vá ngay lập tức không còn là lựa chọn mà là yêu cầu bắt buộc.

Khuyến nghị cho quản trị viên

Với các tổ chức tại Việt Nam đang vận hành NetScaler — đặc biệt trong lĩnh vực ngân hàng, tài chính, viễn thông và cơ quan nhà nước — đây là thời điểm cần hành động ngay:

• Kiểm tra ngay phiên bản NetScaler ADC và NetScaler Gateway đang sử dụng.
• Đối chiếu với danh sách bản build bị ảnh hưởng trong khuyến cáo chính thức của Citrix.
• Áp dụng bản vá hoặc nâng cấp lên phiên bản mới nhất càng sớm càng tốt.
• Rà soát log để phát hiện dấu hiệu khai thác bất thường, đặc biệt trong các cấu hình SAML.
• Cân nhắc các biện pháp giảm thiểu tạm thời nếu chưa thể vá ngay.

Điểm CVSS 9.5 là lời cảnh báo rõ ràng: thời gian chính là yếu tố quyết định. Với tiền lệ các lỗ hổng NetScaler bị khai thác chỉ vài ngày sau khi công bố, việc chậm trễ trong vá lỗ hổng có thể dẫn đến hậu quả nghiêm trọng khó lường.