Allvarlig varning: Sårbarheter i Citrix NetScaler har utnyttjats vid dataintrång i Finland

Cybersäkerhetscentret vid Transport- och kommunikationsverket Traficom har publicerat en allvarlig varning om kritiska sårbarheter i Citrix NetScaler ADC- och Gateway-produkter. Sårbarheterna har utnyttjats vid dataintrång i Finland redan innan korrigeringsuppdateringarna publicerades. Organisationer som använder sårbara system ska uppdatera dem omedelbart och undersöka om någon har gjort intrång i systemen.

”Det räcker inte att bara uppdatera den sårbara programvaran. Organisationerna måste också granska sina miljöer för att upptäcka eventuella försök att utnyttja sårbarheterna och dataintrång. En organisation som har drabbats av ett dataintrång bör också göra en polisanmälan”, säger Roni Kokkola, informationssäkerhetsexpert vid Cybersäkerhetscentret.

Dataintrång gjordes redan innan korrigeringarna publicerades

Citrix publicerade korrigeringsuppdateringar för sårbarheterna den 27 september 2026. Enligt de uppgifter som Cybersäkerhetscentret har fått utnyttjades sårbarheterna vid dataintrång i Finland redan innan korrigeringarna publicerades.

Därför måste administratörer av NetScaler-system som är synliga på internet beakta att systemen kan ha utsatts för angrepp redan innan uppdateringarna installerades. En angripare kan också ha försökt behålla åtkomsten till miljön efter att sårbarheterna åtgärdats.

Cybersäkerhetscentret har identifierat hundratals NetScaler-instanser i Finland och varit i kontakt med deras administratörer. Snabba uppdateringar minskar risken för nya angrepp, men för att upptäcka eventuella tidigare dataintrång måste organisationerna också undersöka sina miljöer separat.

Organisationer ska uppdatera sina system och granska sina miljöer

Organisationer ska uppdatera sårbara NetScaler ADC- och Gateway-system till de korrigerade programvaruversioner som tillverkaren har publicerat.

Organisationerna ska dessutom kontrollera systemens loggar och administrativa ändringar samt undersöka eventuella tecken på angrepp och dataintrång. Vid granskningen bör de också kontrollera användarkonton som har skapats i systemen, schemalagda uppgifter, tjänster och andra ändringar som en angripare kan ha gjort för att behålla åtkomsten till miljön.

Om en organisation misstänker ett dataintrång ska lösenorden för administratörskontona bytas. Organisationen bör samtidigt undersöka om angriparen har använt det komprometterade systemet för att komma åt andra system i det interna nätverket.

Sårbarheterna berör flera NetScaler-versioner

Sårbarheterna gäller versionerna 13.1 och 14.1 av Ctirix NetScaler ADC- och Gateway-produkter samt deras FIPS- och NDcPP-versioner som har publicerats före tillverkarens korrigerade versioner.

Sårbarheterna kan bland annat göra det möjligt att fjärrköra kod utan autentisering, utföra överbelastningsangrepp och bedriva annan skadlig verksamhet i systemen.

Cybersäkerhetscentret uppmanar organisationer att rapportera upptäckta försök att utnyttja sårbarheterna och dataintrång. Rapporterna bidrar till att upprätthålla den nationella lägesbilden av cybersäkerheten och skydda andra aktörer.