Kyberturvallisuuskeskus päätti kolme viikkoa auki olleen NetScaler-varoituksen
Uusien hyväksikäyttöyritysten loppuminen ja järjestelmien päivittyminen antoivat perusteen sulkea kolme viikkoa auki olleen hälytyksen.
Tiivistelmä
Kyberturvallisuuskeskus sulki 20. lokakuuta varoituksensa Citrixin NetScaler ADC- ja Gateway-tuotteiden kahdeksasta kriittisestä haavoittuvuudesta, koska uusista hyväksikäyttöyrityksistä tai niihin liittyvistä tietomurroista ei ole enää ilmoitettu. Sulkeminen koskee vain tätä lokakuun alun haavoittuvuusryhmää, ei täysin erillistä CVE-2026-88779-haavoittuvuutta, joka on yhä aktiivisen hyväksikäytön kohteena. Keskus kehottaa organisaatioita varmistamaan päivitykset ja tarkistamaan erikseen myös tämän toisen haavoittuvuuden korjaustilanteen.
Kolme viikkoa kestänyt viranomaisvaroitus on ohi.
Kyberturvallisuuskeskus ilmoitti 20. lokakuuta sulkevansa varoituksensa, joka koski Citrixin NetScaler ADC- ja Gateway-tuotteiden kahdeksaa kriittistä haavoittuvuutta.
Citrix julkisti haavoittuvuudet CVE-2026-88771–88778 syyskuun lopussa, ja keskus varoitti niistä ensimmäisen kerran 1. lokakuuta klo 12.16. Se päivitti varoitusta kahdesti, 3. ja 20. lokakuuta, ennen kuin sulki sen samana päivänä.
Vakavin kahdeksasta aukosta, CVE-2026-88771, mahdollistaa etäkoodin suorittamisen ilman tunnistautumista.
Sen CVSSv4-pisteet nousivat arvoon 9,5, ja tietoturvayhtiö Rapid7 vahvisti arvion riippumattomasti, kun tulos vastasi myös Yhdysvaltain kyberturvallisuusviraston CISA:n omaa hälytystä syyskuun lopulta.
Aukot koskivat NetScaler-versioita 14.1 ennen päivitystä 14.1-73.37 ja 13.1 ennen päivitystä 13.1-64.23, samoin tiukempia FIPS- ja NDcPP-erikoisversioita.
NetScaler on Suomessa yleisesti käytössä yritysten ja julkishallinnon etäyhteysratkaisuna, joten haavoittuvuus kosketti laajaa joukkoa organisaatioita. Alkuperäisessä varoituksessa keskus puhui useista tietomurroista Suomessa ja kertoi olleensa yhteydessä satoihin suomalaisiin NetScaler-ylläpitäjiin. Tarkkaa uhrimäärää ei ole koskaan julkistettu.
– Kyberturvallisuuskeskukselle ei ole enää ilmoitettu uusista haavoittuvuuksien hyväksikäyttöyrityksistä taikka näihin liittyvistä tietomurroista, Kyberturvallisuuskeskus toteaa sulkemistiedotteessaan.
Keskus kertoo, että valtaosa aiemmin alttiista järjestelmistä on nyt päivitetty valmistajan korjaamiin versioihin.
Sulkeminen koskee vain tätä kahdeksan haavoittuvuuden ryhmää, sillä Citrix julkisti 3. lokakuuta täysin erillisen NetScaler-haavoittuvuuden CVE-2026-88779, lempinimeltään "PitScaler". Kyseessä on SAML-toiminnon muistiylivuotovirhe, jonka CVSS-pisteet ovat 8,7.
CISA lisäsi sen hyväksikäytettyjen haavoittuvuuksien listalleen 4. lokakuuta. Hyväksikäyttö oli käynnissä jo 25.–26. syyskuuta, ennen kuin korjaus oli julkisesti saatavilla, ja on jatkunut siitä lähtien.
Rapid7 on raportoinut murroista, joissa hyökkääjät ovat yhdistäneet PitScalerin juuri suljettuun CVE-2026-88771:een.
Kyberturvallisuuskeskuksen sulkemispäätös ei koske PitScaleria.
Mitä tehdä
- Varmista, että kaikki NetScaler ADC- ja Gateway-järjestelmät on päivitetty valmistajan suosittelemiin versioihin: 14.1-73.37 tai uudempi, 13.1-64.23 tai uudempi, FIPS/NDcPP-versioissa 13.1-37.279 tai uudempi.
- Säilytä lokit riittävän pitkään ja jatka ympäristöjen valvontaa, jotta viiveellä paljastuvat tietomurrot eivät jää huomaamatta.
- Ilmoita havaitut hyväksikäyttöyritykset tai tietomurrot Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
- Tarkista erikseen myös CVE-2026-88779:n ("PitScaler") korjaustilanne, koska se on eri haavoittuvuus kuin tämä suljettu varoitus koski.
Lähteet
- Kyberturvallisuuskeskus (20.10.2026)
- Kyberturvallisuuskeskus (alkuperäinen varoitus) (01.10.2026)
- CISA (27.09.2026)
- CISA Known Exploited Vulnerabilities Catalog (04.10.2026)