Lỗ hổng nghiêm trọng trên Citrix NetScaler đang bị khai thác: Bản vá khẩn cấp được phát hành

Citrix vừa tung ra bản vá khẩn cấp cho 8 lỗ hổng bảo mật trên dòng sản phẩm NetScaler, trong đó có 3 lỗ hổng nghiêm trọng với điểm CVSS cao nhất lên tới 9.5. Đáng lo ngại hơn, cả Citrix lẫn Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đều xác nhận các lỗ hổng này đã bị tin tặc khai thác tích cực trên toàn cầu.

Ba lỗ hổng nghiêm trọng nhất

Trong số 8 lỗ hổng được công bố, ba lỗ hổng sau đây được đánh giá ở mức nghiêm trọng nhất:

• CVE-2026-88771 (điểm CVSS 9.5): Cho phép thực thi mã từ xa (RCE), kẻ tấn công không cần xác thực vẫn có thể chạy lệnh tùy ý trên thiết bị.
• CVE-2026-88772 (điểm CVSS 9.5): Lỗ hổng tràn bộ nhớ, có thể dẫn đến thực thi mã từ xa hoặc tấn công từ chối dịch vụ (DoS).
• CVE-2026-88773 (điểm CVSS 9.3): Cho phép tấn công HTTP request smuggling — kỹ thuật có thể vượt qua các lớp kiểm soát bảo mật ở máy chủ đầu cuối.

Ngoài ra, Citrix cũng vá 5 lỗ hổng nghiêm trọng khác, bao gồm ba lỗi tràn bộ nhớ (điểm 8.8) có thể khiến thiết bị NetScaler mất ổn định, một lỗi liên quan đến dự đoán số thứ tự ban đầu của TCP (điểm 8.8), và một lỗi bỏ qua chính sách tính năng do sử dụng biểu thức URL HTTP không đúng cách (điểm 7.0).

Cảnh báo khẩn từ CISA

CISA đã phát đi cảnh báo vào Chủ nhật, xác nhận rằng họ "đã nhận được báo cáo và thông tin tình báo từ đối tác, xác nhận các tác nhân đe dọa đang tích cực khai thác các lỗ hổng này trên phạm vi toàn cầu."

"Do việc cập nhật thiết bị Citrix NetScaler có thể phức tạp và đòi hỏi thời gian ngừng hoạt động, CISA phát đi cảnh báo này nhằm giúp các tổ chức đánh giá mức độ phơi nhiễm, ưu tiên biện pháp giảm thiểu và đưa các lỗ hổng này vào hoạt động quản lý rủi ro."

Điều đáng chú ý là một luồng thảo luận trên Reddit cáo buộc rằng ít nhất một đối tác kênh phân phối của Citrix đã biết về các lỗ hổng này từ thứ Bảy — tức một ngày trước khi Citrix công bố chính thức — và đã kêu gọi người dùng ngắt kết nối NetScaler khỏi mạng.

Lịch sử bảo mật đáng lo ngại của NetScaler

Đây không phải lần đầu tiên NetScaler gặp vấn đề bảo mật nghiêm trọng. Sản phẩm này đã nhiều lần trở thành mục tiêu tấn công:

• Tháng 3/2026: Citrix công bố lỗ hổng nghiêm trọng và ngay lập tức bị khai thác.
• Năm 2025: Xảy ra hai lần liên tiếp với kịch bản tương tự.
• Năm 2023: Cũng ghi nhận các lỗ hổng bị khai thác.

Các lỗ hổng trên NetScaler thậm chí từng xuất hiện trong danh sách các lỗ hổng bị khai thác nhiều nhất hằng năm do cơ quan an ninh mạng của liên minh Five Eyes công bố từ năm 2020 đến 2023.

Khuyến nghị cho người dùng và doanh nghiệp

Citrix đã cung cấp hướng dẫn chi tiết để kiểm tra xem thiết bị NetScaler của bạn có cần vá hay không, cùng danh sách các bản vá cần áp dụng. Công ty cho biết đã tạo sẵn các bản làm mới hệ điều hành chứa sẵn các bản sửa lỗi.

Đối với các doanh nghiệp và tổ chức tại Việt Nam đang vận hành hạ tầng NetScaler cho ứng dụng và cổng kết nối, đây là vấn đề cấp bách cần xử lý ngay:

• Kiểm tra ngay phiên bản NetScaler đang sử dụng và xác định xem có nằm trong danh sách bị ảnh hưởng hay không.
• Áp dụng bản vá sớm nhất có thể, ưu tiên các lỗ hổng CVE-2026-88771, CVE-2026-88772 và CVE-2026-88773.
• Xem xét cách ly tạm thời nếu chưa thể vá ngay, đặc biệt với các hệ thống phơi nhiễm ra internet.
• Theo dõi nhật ký hệ thống để phát hiện dấu hiệu khai thác bất thường.

Việc tìm kiếm khung thời gian bảo trì để vá hệ thống không phải lúc nào cũng dễ dàng, đặc biệt với các hệ thống yêu cầu hoạt động liên tục. Tuy nhiên, với tình trạng NetScaler gần như luôn nằm trong tầm ngắm của tin tặc, việc trì hoãn vá lỗi tiềm ẩn rủi ro rất lớn cho toàn bộ hạ tầng của tổ chức.