Атакуващи активно експлоатират критичната уязвимост CVE-2026-88772 в Citrix NetScaler, като използват web shell-и и тунелиращ зловреден код за получаване на root достъп, кражба на идентификационни данни и проникване във вътрешни мрежи.
Според Mandiant атаките са започнали най-малко в началото на септември и са засегнали организации в Северна Америка и Европа от държавния сектор, финансовите услуги, образованието, правния и професионалния сектор.
Две zero-day уязвимости под активна експлоатация
Citrix вече потвърди, че две zero-day уязвимости в NetScaler са били експлоатирани в реални атаки – CVE-2026-88771 и CVE-2026-88772. Втората е свързана с препълване на паметта при активиран DTLS и може да доведе до дистанционно изпълнение на код или отказ на услуга.
Изследователите на GreyNoise са засекли атака още на 24 септември, при която нападателят се е опитал да модифицира /bin/sh, за да получи root shell, и да инсталира защитен с парола PHP web shell в NetScaler.
Експлоатацията осигурява root достъп
Mandiant потвърждава сходен модел на атаки. Специално обработени мрежови пакети могат да предизвикат повреда на паметта в Packet Processing Engine и да позволят изпълнение на произволен код с root привилегии върху базираната на FreeBSD платформа.
След първоначалното проникване атакуващите са използвали техники за прикриване на web shell-ите. В конфигурацията на уеб сървъра са правени промени, така че файлове с разширения като .deb, .sig, .ico или дори CSS файлове да бъдат обработвани като PHP. Така злонамерените заявки могат да изглеждат като нормален трафик към статични ресурси.
WHIPSHOT и SLAPSHOT превръщат NetScaler в мост към мрежата
Mandiant е идентифицирала и два нови зловредни инструмента – WHIPSHOT и SLAPSHOT. WHIPSHOT функционира като PHP web shell и HTTP прокси, докато SLAPSHOT е инструмент за TCP тунелиране.
Комбинацията позволява на нападателите да използват компрометирания NetScaler като мост към вътрешната мрежа.
В наблюдавана атака инструментите са били използвани за разузнаване на вътрешната инфраструктура и кражба на идентификационни данни. Нападателите са модифицирали и /bin/sh, за да запазят root привилегиите си.
Какво трябва да проверят администраторите
Защитниците трябва да проверят NetScaler системите за неоторизирани PHP обработчици и Alias/AliasMatch записи, подозрителни .deb и .sig файлове, необичайни HTTP 404 отговори, неочаквани сривове на NSPPE и файловете /tmp/.uxdport и /tmp/.uxdlock, свързвани със SLAPSHOT.
Mandiant препоръчва незабавно инсталиране на последните актуализации за сигурност на NetScaler. При невъзможност за незабавно пачване може временно да се изключи DTLS, когато това е оперативно възможно, както и да се блокира входящият UDP/443 трафик, ако DTLS не е необходим.
Пачването остава основната защита
Тези мерки обаче ограничават само CVE-2026-88772. Те не защитават от отделната уязвимост CVE-2026-88771, която също вече е използвана в реални атаки.
Затова пълното обновяване остава необходимата мярка за защита. Особено рискови са NetScaler устройствата, изложени директно към интернет и разположени на границата между публичната и вътрешната инфраструктура.
