Khai thác Citrix NetScaler để cài web shell và đánh cắp cấu hình
"Threat actors are exploiting Citrix NetScaler ADC/Gateway pre-authentication command injection vulnerabilities CVE-2026-88771 and CVE-2026-88772 to deploy web shells, establish reverse shells, and steal configuration data. The observed payloads create a privileged local account, archive and exfiltrate NetScaler configs, modify system files to enable PHP execution, and map a web shell to CSS-like URLs to evade detection; remediation requires patching and incident response on affected appliances."
Rủi ro thực thi lệnh từ xa và chiếm quyền quản trị trên Citrix NetScaler; có dấu hiệu đánh cắp cấu hình và ẩn mình sau khai thác.
Có thể gây gián đoạn dịch vụ truy cập từ xa, làm lộ cấu hình nhạy cảm và tăng chi phí ứng cứu sự cố trên hệ thống biên mạng.
Các nhà nghiên cứu ghi nhận tác nhân tấn công đang khai thác các lỗ hổng CVE-2026-88771 và CVE-2026-88772 trên Citrix NetScaler ADC/Gateway để triển khai web shell, tạo reverse shell và thu thập dữ liệu cấu hình. Theo phân tích của LevelBlue, một số chuỗi khai thác dùng tên người dùng do kẻ tấn công kiểm soát, cùng các lệnh như curl và wget để tải thêm payload từ máy chủ bên ngoài.
Một payload Python được ghi nhận có khả năng thiết lập kết nối ngược tới 45.141.21[.]130 qua TCP 443 và kết thúc tiến trình liên quan đến /var/python/bin/customsnmpd. Một payload Perl khác có thể sửa /flash/nsconfig/ns.conf để tạo tài khoản cục bộ sec_monitor với vai trò superuser, nén thư mục /flash/nsconfig rồi tải dữ liệu ra ngoài, đồng thời xóa dấu vết trên đĩa.
Ngoài ra, payload còn thay đổi quyền của /bin/sh, triển khai web shell tại /var/netscaler/logon/LogonPoint/.local_journal, và chỉnh /etc/httpd.conf để bật thực thi PHP. Web shell được ánh xạ sang các URL giống tài nguyên CSS hợp lệ nhằm né phát hiện.
Khuyến nghị: vá ngay các thiết bị bị ảnh hưởng, kiểm tra dấu hiệu xâm nhập, rà soát tài khoản và cấu hình, đồng thời thực hiện incident response nếu phát hiện hoạt động bất thường.