Хакери експлоатират критична уязвимост за отдалечено изпълнение на код в Citrix NetScaler за разгръщане на уеб шелове и зловреден софтуер

Критична уязвимост в Citrix NetScaler ADC и NetScaler Gateway се експлоатира за изпълнение на команди на изложени устройства, инсталиране на уеб шелове и разпространение на зловреден софтуер.

Проследявана като CVE-2026-88771, уязвимостта позволява на неавтентифициран атакуващ да изпълнява команди дистанционно. Citrix я оповести на 27 септември 2026 г. и потвърди експлоатацията на устройства, които не са били защитени чрез актуализация.

Уязвимостта е оценена с 9.8 по CVSS v3.1 и 9.5 по CVSS v4.0 според доклада на Zscaler ThreatLabz. Тази дейност буди безпокойство, тъй като устройствата NetScaler често се намират на границата на корпоративните мрежи и управляват отдалечения достъп или трафика към приложенията.

Един уеб шел може да предостави начин за повторно проникване в компрометирано устройство, докато отделен имплант от зловреден софтуер може да даде на атакуващите допълнителна опора.

Кампанията показва също защо самото инсталиране на корекции за сигурност може да не е достатъчно: организациите трябва да проверят дали атакуващите вече не са променили файлове, настройки или системни регистрационни файлове.

Изследователи от Zscaler ThreatLabz идентифицираха поетапна верига за експлоатация, която използва отравяне на системните дневници (log poisoning), изпълнение на команди, опити за разполагане на уеб шелове и доставка на FreeBSD имплант със зловреден софтуер.

Техният технически анализ на CVE-2026-88771 сочи, че атакуващите първо са разположили кодирано съдържание в уеб регистрационните файлове за достъп, след което са изпратили специално конструирани заявки за автентикация, предназначени да задействат уязвим диагностичен процес.

Хакери експлоатират критична RCE уязвимост в Citrix NetScaler

При наблюдаваната активност заявките към често срещани уеб пътища в NetScaler са носили отличителен маркер „INDEX:“ и кодирано съдържание в полето User-Agent.

Тези заявки са имали за цел контролирани от атакуващия данни да бъдат записани в регистрационните файлове за достъп; първоначалната заявка сама по себе си не е изпълнявала пълния зловреден код. След това атакуващите са изпращали заявки за автентикация, съдържащи текст, наподобяващ съобщение за грешка от Packet Processing Engine.

Уязвимият процес — Perl диагностичен скрипт — впоследствие е обработвал съвпадащите записи в дневника. Според Zscaler скриптът не е обработвал по сигурен начин контролираните от атакуващия символи в подправеното съобщение.

Когато скриптът обработи отровен запис, добавените команди са можели да се изпълнят с неговите привилегии. Този забавен метод помага да се обясни защо заявка, която изглежда като обикновен уеб трафик или трафик за вход, може да бъде част от по-голям опит за компрометиране на устройство.

Наблюдаваните зловредни кодове са правили опити да създадат файлове с уеб достъп, да активират обработката на PHP или Perl в уеб сървъра и да инсталират файлове с имена Nx_7508.php и Nx_7508.pl.

Изследователите също така са забелязали опити за изтегляне и изпълнение на 64-битов FreeBSD бинарен файл с име kw2-freebsd-x64-s11. Zscaler съобщава, че инфраструктурата за изтегляне се е появявала и в дейност, насочена срещу Magento и Adobe Commerce с уязвимостта CVE-2026-75650, известна като StyleSmuggler.

Това застъпване е следа за разследване, а не доказателство, че един и същ автор на заплахата е извършил и двете кампании. Това не е първият път, в който атакуващи използват недостатъци в NetScaler, за да оставят уеб шелове.

Cyber Security News по-рано съобщи за уеб шелове върху хакнати устройства Citrix NetScaler и за отделна кампания, включваща zero-day уязвимости в Citrix NetScaler и зловреден софтуер.

Тези по-ранни доклади представляват полезен контекст, но се отнасят за различни инциденти и не бива да се разглеждат като доказателство, че отговорни са същите извършители.

Какво трябва да направят организациите

Коригираните версии на Citrix, посочени в доклада на Zscaler, са NetScaler ADC и Gateway 14.1-73.46 или по-нови, както и 13.1-64.29 или по-нови. Докладът посочва също 14.1-73.46 FIPS или по-нови за 14.1-FIPS, както и 13.1.37.283 или по-нови за 13.1-FIPS и 13.1-NDcPP.

Администраторите трябва да проверят точната версия за своя продукт и незабавно да извършат надграждане. Преди актуализирането запазете съответните доказателства, където е възможно, включително отдалечени syslog данни, пакети за техническа поддръжка и налични core dump файлове.

След това прегледайте регистрационните файлове за автентикация и уеб достъп за подозрителни стойности на „INDEX:“ в User-Agent, подправени съобщения за грешка „pitboss PPE“, неочаквани заявки към изброените по-долу пътища и инициирани от устройството връзки към непознати хостове.

Също така проверете за неодобрени уеб файлове, променени настройки на уеб сървъра и подозрителни процеси. Ако има съмнение за компрометиране, изолирайте устройството, като същевременно запазите доказателствата, и подменете идентификационните данни, токените и сертификатите, до които то е имало достъп.

Отстраняването на уязвимостта предотвратява по-нататъшната ѝ експлоатация, но само по себе си не премахва съществуващ уеб шел или имплант. Свързаните материали за друга критична уязвимост в NetScaler и предишна експлоатация на NetScaler могат да помогнат на екипите да сравнят настоящата дейност с по-ранни оповестявания.

Слабостите и кампаниите се различават, така че реагиращите на инциденти екипи трябва да използват посочените по-долу индикатори за този инцидент и да проверят съответните насоки от производителя за всяка отделна уязвимост.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановявайте функционалността им само в контролирани платформи за анализ на заплахи (threat intelligence) като MISP, VirusTotal или вашата SIEM система.

Актуализирайте защитите си срещу нов зловреден софтуер веднага щом се появи. Интегрирайте канали за анализ на заплахи (TI Feeds) с данни от 16 000 SOC центъра.