Luka, która wymknęła się spod radaru
W Holandii trwa alarm po ujawnieniu, że krytyczna luka w Citrix NetScaler, oznaczona jako CVE-2025-6543, została wykorzystana do włamań do systemów należących do instytucji o kluczowym znaczeniu. Problem dotyczy błędu w obsłudze pamięci, który w sprzyjających warunkach umożliwia nie tylko zakłócenie pracy urządzenia, ale także przejęcie pełnej kontroli nad jego działaniem. Producent oprogramowania poinformował o istnieniu podatności pod koniec czerwca, publikując listę wersji narażonych na atak. Wówczas wydawało się, że skutki ograniczą się głównie do incydentów typu odmowa usługi. Najnowsze ustalenia ekspertów z Narodowego Centrum Bezpieczeństwa Cybernetycznego pokazują jednak, że konsekwencje były znacznie poważniejsze – luka pozwalała atakującym na zdalne wykonanie kodu. Co więcej, była wykorzystywana w sposób niezauważony już od wiosny, czyli na długo przed pojawieniem się oficjalnych poprawek. Według specjalistów za atakami stoją grupy dysponujące dużym doświadczeniem i zaawansowanymi metodami. Po uzyskaniu dostępu do systemów, sprawcy mieli starannie zacierać ślady, co znacznie utrudniało wykrycie naruszenia.
Skutki i reakcja organizacji
Nie ujawniono pełnej listy podmiotów, które padły ofiarą tej kampanii, jednak wiadomo, że wśród nich znalazła się holenderska prokuratura. Incydent w tej instytucji doprowadził do poważnych zakłóceń w codziennej pracy, a przywracanie systemów do pełnej funkcjonalności trwało tygodniami. Wielu administratorów systemów dopiero teraz uświadamia sobie, że luka mogła zostać użyta przeciwko nim jeszcze zanim pojawiły się oficjalne ostrzeżenia. Problem dotyczy zarówno aktualnych wersji NetScaler ADC i NetScaler Gateway, jak i starszych, już niewspieranych wydań, które nadal działają w wielu organizacjach. Służby apelują o natychmiastowe zaktualizowanie urządzeń do najnowszych, zabezpieczonych wersji oraz o przeprowadzenie szczegółowych analiz logów w poszukiwaniu nietypowych aktywności. Szczególnie istotne jest zamknięcie wszystkich aktywnych sesji po instalacji poprawek, co ma zminimalizować ryzyko utrzymania się w systemie śladów wcześniejszej kompromitacji.
Ostrzeżenie w sprawie CVE-2025-6543 pojawia się niedługo po tym, jak podobne problemy wykryto w innej podatności określanej jako Citrix Bleed 2. Choć brak potwierdzenia, czy oba błędy były wykorzystywane łącznie, zalecenia dotyczące działań naprawczych są w obu przypadkach zbieżne.
