CISA KEV: шесть новых активно эксплуатируемых уязвимостей — NetScaler, Linux и SQL Server в зоне риска

CISA только что добавила шесть новых записей в свой каталог KEV (известные эксплуатируемые уязвимости). В списке: уязвимости в NetScaler (Citrix), ядре Linux и Microsoft SQL Server — все они активно эксплуатируются в реальных условиях.

Что: шесть подтверждённых уязвимостей эксплуатируются в реальных атаках

Кибербезопасность и инфраструктурная безопасность США (CISA) обновила свой каталог KEV (известные эксплуатируемые уязвимости) шестью новыми записями. KEV — это официальный список правительства США уязвимостей, для которых задокументированы реальные случаи эксплуатации — именно этот список запускает обязательства по установке патчей для федеральных агентств США и является сигналом максимального приоритета для всего сектора.

Три семейства продуктов, затронутых в этом обновлении, согласно The Hacker News: NetScaler (Citrix), ядро Linux и Microsoft SQL Server.

Кого это касается

• NetScaler (Citrix ADC / Gateway): эксплуатируются в интернете в большинстве компаний, использующих Citrix для VPN и удалённого доступа. NetScaler — это постоянная цель KEV — группы программ-вымогателей используют его как предпочтительную точку входа с 2023 года.
• Ядро Linux: любая непатченная серверная инфраструктура Linux потенциально уязвима. Характер уязвимостей (LPE, RCE, обход песочницы) определит приоритет патча в зависимости от экспозиции.
• SQL Server: экземпляры SQL Server, доступные извне или через скомпрометированные сегменты сети, находятся под угрозой. Уязвимость SQL Server в KEV часто связана со сценариями бокового перемещения после эксплуатации.

Контекст: KEV как индикатор активной угрозы

В мониторинге критической инфраструктуры США, который мы ведём с начала 2026 года, KEV является наиболее надёжным индикатором того, что действительно эксплуатируется — в отличие от теоретических CVE. Каждое добавление в KEV представляет задокументированные инциденты, часто на критически важных целях.

С момента запуска нашего [cisa-infra-critique-2026], мы наблюдали особенно интенсивный темп добавления записей в KEV, с преобладанием уязвимостей, нацеленных на удалённый доступ (VPN, RDP, балансировщики нагрузки) и уровень гипервизора/виртуализации.

Что делать сейчас

Что нужно сделать сейчас:

1. NetScaler: немедленно применить соответствующие бюллетени безопасности Citrix. Проверить логи доступа на наличие аномальных паттернов эксплуатации на точках аутентификации и VPN.
2. Ядро Linux: определить точную версию уязвимости через обновлённое advisory CISA, сравнить с ядрами в продакшене, приоритизировать системы, экспонированные в интернет или мультитенантные.
3. SQL Server: ограничить доступ к порту 1433 только авторизованным сетевым сегментам, применить соответствующий патч Microsoft, провести аудит учётных записей сервисов SQL Server для обнаружения предварительной компрометации.
4. Федеральные органы / государственный сектор: американские агентства обязаны установить патчи в сроки, указанные CISA для каждой записи KEV.