Citrix công bố lỗ hổng NetScaler bị khai thác trước khi vá
"Citrix disclosed eight vulnerabilities in NetScaler ADC and NetScaler Gateway, including CVE-2026-88771 and CVE-2026-88772, both rated critical and already being exploited as zero-days before public disclosure. Attackers used custom post-exploitation malware, including the WHIPSHOT PHP web shell and SLAPSHOT Python tunneling tool, to gain persistence, proxy traffic, and conduct internal reconnaissance and credential theft; Citrix advised immediate patching and checking for compromise first."
Rủi ro xâm nhập từ xa, duy trì hiện diện và đánh cắp thông tin xác thực trên NetScaler; các lỗ hổng đã bị khai thác trước khi công bố.
Có thể gây gián đoạn dịch vụ biên mạng, ảnh hưởng truy cập VPN và làm phát sinh chi phí ứng cứu sự cố; cần ưu tiên kiểm tra compromise và vá khẩn cấp.
Citrix đã công bố 8 lỗ hổng trong NetScaler ADC và NetScaler Gateway, trong đó CVE-2026-88771 và CVE-2026-88772 được xếp mức critical với điểm CVSS 9.5 và đã bị khai thác như zero-day trước khi công bố. Theo các báo cáo điều tra, chiến dịch tấn công đã nhắm vào các tổ chức trong lĩnh vực chính phủ, tài chính, giáo dục, pháp lý và dịch vụ chuyên nghiệp tại Bắc Mỹ và châu Âu.
Sau khi xâm nhập, kẻ tấn công sử dụng mã độc tùy biến gồm WHIPSHOT và SLAPSHOT để duy trì hiện diện, chuyển tiếp lưu lượng vào mạng nội bộ, thực hiện reconnaissance và đánh cắp thông tin xác thực. WHIPSHOT là một PHP web shell, còn SLAPSHOT là công cụ TCP tunneling viết bằng Python.
Khuyến nghị kỹ thuật: quản trị viên cần kiểm tra dấu hiệu bị xâm nhập trước khi vá, tìm web shell hoặc tệp bất thường, lưu giữ bằng chứng nếu phát hiện, rồi mới triển khai bản cập nhật bảo mật. Việc chỉ vá lỗi có thể không loại bỏ hoàn toàn tác nhân tấn công nếu hệ thống đã bị cài cắm.