Citrix NetScaler CVE-2026-88771: actualizarea nu e ultimul pas

Atacatorii exploatează activ CVE-2026-88771, o vulnerabilitate critică de execuție de cod de la distanță, fără autentificare, în Citrix NetScaler ADC și NetScaler Gateway. Echipamentele compromise sunt folosite pentru a instala web shell-uri și un implant malware pentru FreeBSD. NetScaler stă la marginea rețelei și gestionează accesul de la distanță. De aceea, un singur echipament neactualizat poate oferi atacatorului un punct de acces privilegiat.

Ce s-a întâmplat

Citrix a publicat vulnerabilitatea pe 27 septembrie 2026 și a confirmat că echipamentele neactualizate sunt exploatate. Scorul este 9,8 în CVSS v3.1 și 9,5 în CVSS v4.0.

Zscaler ThreatLabz a analizat atacurile. Exploatarea se face în etape, nu printr-o singură cerere:

Otrăvirea jurnalelor. Cererile către căi uzuale NetScaler conțin marcajul INDEX: și conținut codificat în câmpul User-Agent. Scopul este ca date controlate de atacator să ajungă în jurnalele de acces web. Cererea în sine nu declanșează payload-ul.
Autentificări falsificate. Atacatorul trimite apoi cereri de autentificare cu un text care imită un mesaj de eroare al Packet Processing Engine (șirul fals „pitboss PPE”).
Execuție întârziată. Un script de diagnostic Perl de pe echipament procesează ulterior intrările din jurnal. Scriptul nu curăță corect caracterele controlate de atacator, așa că comenzile adăugate în intrarea otrăvită rulează cu privilegiile lui.

După ce obțin execuție, atacatorii încearcă să creeze fișiere accesibile din web, să activeze PHP sau Perl pe serverul web și să instaleze web shell-uri. Încearcă și să descarce și să ruleze un binar FreeBSD pe 64 de biți.

Infrastructura de descărcare a mai apărut în atacuri anterioare împotriva Magento / Adobe Commerce (CVE-2026-75650, „StyleSmuggler”). Această suprapunere e o pistă de investigație, nu o dovadă că același actor se află în spatele ambelor campanii.

De ce contează

Fiecare pas din acest lanț pare banal luat separat: o cerere web puțin ciudată, apoi o autentificare eșuată. Cine caută doar payload-uri evidente de exploatare îl poate rata. Iar actualizarea are o limită: închide breșa, dar nu elimină un web shell sau un implant deja instalat. Orice echipament expus înainte de actualizare trebuie tratat ca posibil compromis până la proba contrarie.

Ce trebuie făcut

Actualizați imediat. Versiunile corectate sunt NetScaler ADC și Gateway 14.1-73.46+ și 13.1-64.29+, 14.1-73.46 FIPS+ pentru 14.1-FIPS și 13.1.37.283+ pentru 13.1-FIPS și 13.1-NDcPP. Verificați în buletinul Citrix versiunea potrivită pentru produsul dumneavoastră.
Păstrați mai întâi dovezile. Înainte de actualizare, colectați datele syslog la distanță, pachetele de suport tehnic și eventualele core dump-uri.
Căutați în jurnale. Verificați jurnalele web și de autentificare pentru valori User-Agent INDEX:, mesaje false „pitboss PPE” și cereri neașteptate către /logon/LogonPoint/tmindex.html, /logon/LogonPoint/index.html, /vpn/index.html, /logon/tmindex.html, /nf/auth/doAuthentication.do și /cgi/login.
Verificați echipamentul. Căutați Nx_7508.php, Nx_7508.pl, Nx_7508.html, /var/kw2s11 sau un binar kw2-freebsd-x64-s11. Căutați și fișiere web neaprobate, configurări modificate ale serverului web, procese necunoscute și conexiuni spre gazde necunoscute, inclusiv serverul de descărcare raportat, 209.141.43[.]95. ThreatLabz a publicat o listă mai lungă de IP-uri sursă ale atacatorilor.
Dacă suspectați o compromitere, izolați echipamentul fără să distrugeți dovezile. Apoi schimbați toate parolele, token-urile și certificatele la care putea avea acces.

Echipamentele de margine precum NetScaler sunt ușor de pierdut din vedere. Unul rămâne neactualizat sau o instanță uitată rămâne expusă. Serviciul nostru de scanare a vulnerabilităților verifică periodic perimetrul expus la internet pentru vulnerabilități exploatate activ și versiuni învechite ale echipamentelor, ca aceasta. Așa știți ce sisteme au nevoie de atenție înainte să le găsească un atacator.

Detaliile tehnice se bazează pe cercetarea Zscaler ThreatLabz, preluată de Cyber Security News.