Хакери експлоатират критична уязвимост в Citrix NetScaler за внедряване на уеб шелове и кражба на конфигурационни данни

Хакери експлоатират CVE-2026-88771, критична уязвимост в Citrix NetScaler, за изпълнение на команди, инсталиране на уеб шелове и събиране на конфигурационни данни от устройството.

Дейността надхвърля обикновените тестове, като включва зловредни скриптове, проектирани да поддържат достъп и да изпращат откраднати файлове към инфраструктурата на атакуващите. Уязвимостта засяга NetScaler ADC и NetScaler Gateway и позволява изпълнение на команди преди автентикация.

Citrix я оценява с 9.5 по CVSS 4.0 и заявява, че уязвимите подразбиращи се внедрявания са изложени на риск без необходимост от активиране на допълнителни функции. Потвърдената експлоатация на тази zero-day уязвимост в NetScaler наложи извънредни актуализации на 27 септември 2026 г.

Изследователи от екипа Threat Hunt Operations & Research на LevelBlue идентифицираха злонамерени събития за автентикация в множество клиентски среди.

Техният технически доклад от 30 септември описва Python и Perl зловреден код, поддържащ обратни шелове (reverse shells), привилегировани акаунти, уеб шелове и опити за кражба на конфигурация. Констатациите не потвърждават, че всеки опит е бил успешен.

Хакери експлоатират критична уязвимост в Citrix NetScaler

Атакуващите са поставяли шел команди в потребителските имена, често заедно с pitboss, NSPPE и unexpectedly died. Някои са използвали whoami за проверка на изпълнението, докато други са използвали curl или wget за изтегляне на допълнителен код.

Командите също така са копирали основната конфигурация в уеб директория или са архивирали конфигурационната папка за последващо извличане. Една от вариациите използва заместване на команди и ${IFS}, което представлява интервал без използване на буквален интервал.

Това дава на защитниците друг полезен модел за търсене: подозрителни полета за автентикация, съдържащи текст, свързан със срив на системата, заедно с команди за изтегляне, четене или архивиране на файлове.

Зловредният код на Python презаписва компонент на устройството с код за обратен шел (reverse shell). Този код се свързва външно през TCP порт 443, пренасочва входа и изхода към връзката и стартира интерактивен шел. Оригиналният скрипт също така прекратява съответстващите процеси, свързани с целевия компонент.

Уеб шелове и кражба на конфигурация

Зловредният код на Perl създава локален суперпотребителски акаунт, архивира конфигурационната директория и прави опит да качи архива. След това премахва архива и се самоунищожава. Затова липсващите файлове не доказват, че зловредният код е се е провалил или че от устройството не са изтекли данни.

Той също така променя правата за достъп на шела на 6555 и инсталира PHP уеб шел. Промените в конфигурацията на HTTP сървъра активират PHP и излагат шела през адреси, наподобяващи нормални CSS ресурси.

Това съвпада с разкритията на Google за уеб шелове в NetScaler, включващи маскирани файлове, въпреки че LevelBlue не идентифицира своя зловреден код като същия зловреден софтуер.

Инсталираният шел поддържа отдалечени команди, качвания и изтегляния. Заедно с добавения администраторски акаунт, тези промени дават на атакуващите няколко начина да запазят контрол върху устройството след първоначалната експлоатация.

Екипите по сигурност трябва да прегледат записите за автентикация, неочаквания достъп до конфигурацията, новите файлове в уеб директорията, промените в привилегированите акаунти и изходящия трафик след подозрителни събития за вход.

LevelBlue предупреждава, че неуспешната автентикация не означава, че инжектирането на команди е се е провалило; разследващите трябва да проверят какво се е случило след това.

Известните хешове и IP адреси помагат за откриването на тази дейност, но атакуващите могат да ги променят. По-трайни предупредителни знаци включват шел команди в данните за автентикация, променени компоненти на устройството и конфигурационни архиви, поставени на места, където уеб сървърът може да ги обслужва.

Внимателно прегледайте мрежовите записи заедно с промените във файловете и акаунтите, за да определите дали опитът е довел до работещ шел или до прехвърляне на конфигурационни данни. Администраторите трябва да следват официалния бюлетин за сигурност на Citrix и да инсталират съответната поддържана актуализация.

Предишните спешни насоки за инсталиране на корекции за сигурност на NetScaler също подчертават необходимостта от разследване на евентуално компрометиране, вместо актуализацията да се третира като доказателство, че устройството е чисто.

Бюлетинът посочва отстраняване на тази уязвимост във версии 14.1-73.37 и 13.1-64.23, със съответните FIPS и NDcPP компилации. Това са минималните корекции в този бюлетин, а не твърдение, че са най-новите издания. Екипите трябва да проверят актуалните насоки от производителя, преди да изберат обновяване, особено когато са приложими и други уязвимости в NetScaler.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно неутрализирани (напр. [.]), за да се предотврати случайно разрешаване или хипервръзки. Възстановете ги само в рамките на контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.