Według CERT Polska dwie podatności w urządzeniach Citrix NetScaler są aktywnie wykorzystywane do ataków. Pierwotna część komunikatu z 27 września wskazuje brak poprawek i zaleca odłączenie urządzeń od internetu. Na poniedziałkowy poranek oznacza to zadanie dla właściciela usługi: wskazać, kto może zatwierdzić izolację, oraz ustalić alternatywny dostęp biznesowy.

Kto w twojej organizacji może zgodzić się na odłączenie NetScaler od internetu, zanim pojawi się poprawka? Odpowiedź „wrócimy do tego po aktualizacji” pozostawia bez rozstrzygnięcia właśnie decyzję, której dotyczy ostrzeżenie. W poniedziałek 28 września zacznij od sprawdzenia, czy plan incydentowy pozwala administratorowi uzyskać taką zgodę. Poproś właściciela usługi o wskazanie konkretnej osoby, jej zastępcy i sposobu kontaktu. Następnie ustal, jak biznes miałby pracować po odłączeniu i kto potwierdzi możliwość użycia innej drogi dostępu. Odpowiedzi zapisz w zadaniu dotyczącym usługi, razem z pytaniami, na które jeszcze nie ma odpowiedzi.

Brak poprawki stawia decyzję przed aktualizacją

Jak podaje CERT Polska w komunikacie z 27 września, aktywnemu wykorzystaniu podatności towarzyszy brak dostępnej poprawki. Dla planu incydentowego przyjmij zatem konkretny punkt wyjścia: potrzebna jest decyzja o dostępie do usługi przed możliwością wdrożenia aktualizacji.

W zadaniu dotyczącym urządzenia oddziel ocenę techniczną od zgody na ograniczenie dostępności. Administrator powinien wskazać, co trzeba odłączyć i jakie informacje są potrzebne do wykonania decyzji. Osoba uprawniona do zatwierdzenia izolacji powinna otrzymać ten opis wraz z pytaniem o zgodę. Nie uzależniaj samego rozpoczęcia uzgodnień od pojawienia się poprawki.

W planie dla NetScaler zapisz osobno stan wymagający sprawdzenia i czynność, którą chcesz zatwierdzić. Dzięki temu pytanie o odłączenie będzie miało określony zakres.

Plan dla NetScaler powinien wskazywać osobę uprawnioną do izolacji także wtedy, gdy poprawka nie jest jeszcze dostępna.

Procedurę NetScaler sprawdź przez kontakt z osobą decyzyjną

Zderzenie procedury z praktyką sprawdź we własnej organizacji prostym zadaniem: ustal, do kogo administrator NetScaler ma skierować wniosek o odłączenie. Jeżeli procedura wymienia wyłącznie dział albo komitet, dopisz osobę przyjmującą zgłoszenie i sposób uzyskania decyzji. Potwierdź też, kto przejmuje tę rolę przy jej niedostępności. Traktuj to jako kontrolę własnego planu, bez przypisywania takich braków innym firmom.

W karcie decyzji zapisz zakres proponowanego odłączenia, osobę zatwierdzającą oraz wykonawcę. Poproś ich o potwierdzenie, że jednakowo rozumieją oczekiwaną zmianę. Zgody na rozważenie izolacji nie zapisuj jako zgody na jej wykonanie; status decyzji nazwij wprost, aby administrator wiedział, na jakim etapie jest zadanie.

Ostrzeżenie CERT Polska potraktuj również jako okazję do sprawdzenia kontaktu z właścicielem usługi. Jeśli nie ma jeszcze odpowiedzi, zapisz brak potwierdzenia i uruchom ustaloną ścieżkę zastępstwa. W procedurze wskaż, kto ma doprowadzić do rozstrzygnięcia oraz gdzie będzie ono widoczne. Nie zamykaj zadania organizacyjnego samym przekazaniem linku do komunikatu.

Alternatywny dostęp wymaga decyzji właściciela usługi

Dla usługi korzystającej z NetScaler przygotuj opis pracy po odłączeniu urządzenia od internetu. Zacznij od pytania do właściciela biznesowego: jakie działania musi móc wykonać i dla których użytkowników potrzebuje dostępu? Nie zakładaj, że organizacja ma już gotowy zamiennik. Jeśli nikt jeszcze nie wskazał ani nie sprawdził innej drogi, zapisz ten stan jako sprawę do rozstrzygnięcia.

Propozycję alternatywnego dostępu przekaż administratorowi do oceny przed przedstawieniem jej jako rozwiązania gotowego do użycia. W zadaniu ustal, kto potwierdzi możliwość pracy tą drogą i kto poinformuje użytkowników o uzgodnionym sposobie działania. Na etapie decyzji nie obiecuj ciągłości usługi bez takiego potwierdzenia.

Koszt odłączenia urządzenia każda organizacja szacuje u siebie. Poproś właściciela usługi o wskazanie prac, które wymagałyby przerwania lub przełożenia, oraz o opis konsekwencji dla ich odbiorców. Przygotuj te informacje dla osoby zatwierdzającej izolację. Przy każdej niewiadomej wskaż osobę odpowiedzialną za jej wyjaśnienie.

Alternatywny dostęp po odłączeniu urządzenia wpisuj jako gotowy dopiero po potwierdzeniu możliwości jego użycia.

Ostrzeżenie CERT Polska przypisz do konkretnego dyżuru

Polskim punktem odniesienia jest komunikat CERT Polska. Własny zakres usług korzystających z NetScaler trzeba ustalić wewnętrznie; w notatce dla zarządu wskaż, kto ma dostarczyć tę informację i gdzie ją zapisze.

Monitorowanie komunikatów producenta NetScaler przypisz konkretnej osobie. Ustal miejsce sprawdzania informacji, termin kolejnego odczytu i odbiorcę wiadomości o zmianie sytuacji. W notatce zapisuj datę odczytu oraz część komunikatu, na której oparto decyzję. W ten sposób przygotuj możliwość ponownej oceny izolacji po otrzymaniu nowych danych.

Co z tym zrobić w poniedziałek

Na każdy punkt przeznacz do 30 minut. Celem jest zapisanie odpowiedzialności i otwartych decyzji; wykonanie zmian technicznych wymaga osobnego ustalenia.

  1. Wskaż zatwierdzającego izolację NetScaler. Odszukaj właściwy zapis planu incydentowego i wpisz do zadania osobę decyzyjną, zastępcę oraz kontakt. Poproś o potwierdzenie uprawnienia do odłączenia urządzenia przed wydaniem poprawki; brak odpowiedzi oznacz jako oczekujące potwierdzenie.
  2. Opisz alternatywny dostęp biznesowy. Z właścicielem usługi zapisz działania wymagające dostępu po odłączeniu urządzenia. Wskaż proponowaną drogę albo zaznacz jej brak. Przypisz administratorowi ocenę możliwości jej użycia i zapisz, kto odbierze wynik.
  3. Przypisz monitorowanie komunikatów NetScaler. Zapisz osobę sprawdzającą informacje producenta, termin następnego odczytu i odbiorcę wyniku. Dołącz ostrzeżenie CERT Polska z oznaczeniem części z 27 września, aby utrwalić podstawę bieżących ustaleń.

Miarą gotowości do odłączenia NetScaler jest wskazanie osoby, która podejmie decyzję, oraz administratora, który ją wykona. Plan incydentowy musi pozwalać im działać, zanim pojawi się poprawka.

Źródła

  1. CERT Polska: Podatności 0-day w urządzeniach Citrix NetScaler, publikacja: 27 września 2026. Wykorzystano wyłącznie pierwotną część komunikatu z 27.09.

Redakcja cyberinsight.pl.