„Напреднали и предполагаемо държавно спонсорирани автори на заплахи“ вероятно стоят зад първоначалните таргетирани прониквания, използващи CVE-2026-88772 – една от двете наскоро разкрити уязвимости в NetScaler, които са били експлоатирани като уязвимости от тип нулев ден, казва техническият директор на Mandiant Чарлз Кармакал.

Mandiant и Google Threat Intelligence Group (GTIG) знаят за десетки засегнати организации в Северна Америка и Европа, добави той, „включително в правителствения сектор, финансовите услуги, образованието, телекомуникациите и секторите на правните и професионалните услуги.“

Експлоатирани са две zero-day уязвимости в NetScaler

На 27 септември 2026 г., няколко дни след като организации по целия свят започнаха да получават известия за активни атаки, включващи възможна zero-day уязвимост в Citrix NetScaler ADC и Gateway устройства, Citrix потвърди, че са експлоатирани два дефекта: CVE-2026-88771 и CVE-2026-88772.

И двете уязвимости позволяват на отдалечени атакуващи да постигнат отдалечено изпълнение на код върху уязвимите устройства. Докато първата работи на всички устройства с конфигурация по подразбиране, втората може да се експлоатира само ако е активирана конфигурацията за DTLS.

Опитите и успешните случаи на експлоатация на CVE-2026-88771 вече бяха подробно описани от фирми за киберсигурност и изследователи, но експертите по реагиране на инциденти на Mandiant и изследователите от Google Threat Intelligence Group (GTIG) вече публикуваха свои собствени констатации относно атаките, разчитащи на CVE-2026-88772.

Те споделят, че за първи път са засекли реална експлоатация на CVE-2026-88772 в края на септември 2026 г. и че дейността по експлоатация продължава най-малко от началото на септември.

Как са се развили атаките

„Експлоатацията на CVE-2026-88772 заобикаля автентикацията и предизвиква необработено прекратяване на NetScaler Packet Processing Engine (NSPPE) за установяване на първоначален достъп на root ниво“, установиха те.

„Въпреки че Google Threat Intelligence Group не разполага с експлойт код, анализът на телеметрията от първа линия предполага, че предаването на специално модифицирани или фрагментирани заглавни части на записи предизвиква повреждане на границите на динамичната памет (heap memory) в рамките на модула за обработка на пакети, пренасочвайки потока на контрол към изпълнение на произволен шелкод с root права в операционната система върху базовата платформа FreeBSD.“

При някои атаки, след получаване на достъп, първоначалният зловреден код (web shell) на атакуващите модифицира httpd.conf – конфигурационния файл за вградения в устройството уеб сървър Apache, така че уеб сървърът да обработва .deb файлове като PHP скриптове и атакуващите да могат скрито да разполагат уеб шелове с подвеждащи файлови разширения в /netscaler/gui/vpn/scripts/linux.

„При други прониквания авторът на заплахата е приложил по-прикрит конфигурационен механизъм (hook), който маскира изпълнението на уеб шела като заявки за изображения“, отбелязват изследователите.

Атакуващите са използвали редица уеб шелове за изпълнение на команди и постигане на постоянно присъствие (persistence) върху целевите устройства, както и инструмент за TCP тунелиране (наречен SLAPSHOT от изследователите), който им е позволявал да пренасочват трафик към вътрешните мрежи.

Инсталирането на корекции за сигурност не е достатъчно

Кармакал заявява, че се очаква широка и опортюнистична експлоатация на CVE-2026-88772 и CVE-2026-88771 от различни злонамерени субекти.

Масовата безогледна експлоатация („spray and pray“) на втората вече е започнала, след като технически детайли и PoC код бяха споделени онлайн.

По-широката експлоатация на първата вероятно вече е започнала, тъй като изследователите от watchTowr споделиха анализ на уязвимостта и „Detection Artefact Generator“ във вторник.

Изследователите на Google споделиха подробни насоки за търсене на заплахи (threat hunting), ограничаване на щетите и отстраняване на последствията, които всички организации, използващи NetScaler ADC и Gateway, трябва да следват, а Кармакал подчерта, че обновяването до коригирана версия не е достатъчно, за да изгони атакуващите, и не прави нищо за справяне с риска, свързан с откраднати идентификационни данни.

  • education
  • Europe
  • financial industry
  • Google Cloud
  • government
  • Mandiant
  • NetScaler
  • telecommunications
  • USA
  • WatchTowr