Kyberturvallisuuskeskukselta vakava varoitus: Suomessa tehty tietomurtoja kriittisen Citrix-haavoittuvuuden kautta

Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus on antanut vakavan varoituksen Citrix NetScaler ADC- ja Gateway -tuotteiden kriittisistä haavoittuvuuksista.

Viraston mukaan haavoittuvuuksia on hyödynnetty tietomurtoihin Suomessa ja muualla maailmassa jo ennen valmistajan julkaisemia korjauspäivityksiä.

Citrix julkaisi korjaukset haavoittuvuuksiin 27. syyskuuta, mutta hyökkääjät ehtivät iskeä suomalaisiin järjestelmiin nollapäivähaavoittuvuutta hyödyntäen ennen paikkojen saapumista.

Kyberturvallisuuskeskus on kartoittanut Suomesta satoja NetScaler-instansseja ja ollut yhteydessä niiden ylläpitäjiin suojauksen varmistamiseksi. Laitteita käytetään yleisesti eri kokoisissa organisaatioissa turvallisten etäyhteyksien toteuttamiseen.

Kyberturvallisuuskeskus painottaa, ettei pelkkä korjauspäivityksen asentaminen riitä suojaamaan organisaatiota.

Koska murtoja tehtiin ennen päivitysten valmistumista, hyökkääjät ovat saattaneet rakentaa järjestelmiin pysyvän pääsyn ja säilyttää sen ohjelmistopäivityksen jälkeenkin.

Organisaatioiden tuleekin käydä läpi järjestelmiensä lokitiedot ja hallinnolliset muutokset sekä etsiä merkkejä hyökkääjien luomista uusista käyttäjätileistä, ajastetuista tehtävistä, palveluista ja käynnistysskripteistä.

"Pelkkä haavoittuvan ohjelmistoversion päivittäminen ei riitä. Organisaatioiden tulee lisäksi tarkastaa ympäristönsä mahdollisten hyväksikäyttöyritysten ja tietomurtojen varalta. Tietomurron kohteeksi joutuneen organisaation on syytä myös tehdä rikosilmoitus", sanoo Traficomin Kyberturvallisuuskeskuksen tietoturva-asiantuntija Roni Kokkola.

Kaikkiaan varoitus koskee kahdeksaa haavoittuvuutta (CVE-2026-88771 – CVE-2026-88778), joiden CVSS-vakavuusarviot vaihtelevat välillä 7.0–9.5.

Vakavin aukoista mahdollistaa komentojen suorittamisen kohdejärjestelmässä etänä ilman minkäänlaista tunnistautumista. Muut aukot liittyvät muun muassa HTTP-pyyntöjen salakuljetukseen, muistin korruptoitumiseen, suojausmekanismien ohittamiseen ja palvelunestotilanteisiin. Ongelmat koskevat NetScaler ADC- ja Gateway -tuotteiden 13.1- ja 14.1-versioita sekä vastaavia FIPS- ja NDcPP-versioita ennen korjausversioita.

Citrix-varoituksen ohella Kyberturvallisuuskeskus muistuttaa viikkokatsauksessaan suomalaisiin WordPress-sivustoihin kohdistuvasta murtoaallosta, joista olemme myös aiemmin kirjoitelleet.

Keväällä ilmenneiden lisäosamurtojen jatkoksi hyökkääjät alkoivat heinäkuussa hyödyntää WordPressin ydinohjelmiston kriittistä haavoittuvuutta. Murrettuja kotimaisia sivustoja on valjastettu muun muassa haittaohjelmien levitykseen ja kävijöiden huijaamiseen ClickFix-tekniikalla, jolloin vaarassa ovat myös sivustojen tavalliset vierailijat. Ylläpitäjiä kehotetaan tarkkailemaan outoja käyttäjätunnuksia, tuntemattomia lisäosia ja vaikeaselkoista haittakoodia lähdekoodissa.

Viikkokatsaus nostaa esiin myös toisen aktiivisesti hyväksikäytetyn verkkolaiteaukon Cisco Catalyst SD-WAN Managerissa (CVE-2026-76504, CVSS 9.8), joka sallii etähallinnan ylläpitäjän oikeuksin ilman tunnistautumista.

Lisäksi virasto varoittaa ajankohtaisista tietojenkalasteluista, joita on kuluneella viikolla tehty hotellivarauksia koskevilla WhatsApp-viesteillä, S-Pankin nimissä lähetetyillä tekstiviesteillä, LähiTapiolan tekaistuilla ilmoituksilla sekä verkkotunnusten vanhenemisella uhkaavilla huijauslaskuilla.

• Kyberturvallisuuskeskus
• haavoittuvuus
• tietoturva-aukko