Khai thác lỗ hổng NetScaler để giành quyền root và triển khai web shell
"Threat actors exploited newly patched Citrix NetScaler ADC and NetScaler Gateway flaws, including CVE-2026-88772 and related activity tied to CVE-2026-88771, to bypass authentication and gain root-level access on exposed appliances. The campaign deployed PHP web shells such as WHIPSHOT and a Python tunneler named SLAPSHOT for persistence, internal reconnaissance, lateral movement, and credential theft; remediation centers on patching the affected NetScaler components and removing malicious web shells/configuration changes."
Ảnh hưởng cao do bypass xác thực, quyền root trên thiết bị biên và khả năng xâm nhập sâu vào mạng nội bộ. Các dấu hiệu web shell và tunneling cho thấy nguy cơ duy trì hiện diện và đánh cắp thông tin xác thực.
Có thể gây gián đoạn dịch vụ trên NetScaler ADC/Gateway, ảnh hưởng đến truy cập từ xa và các luồng ứng dụng phụ thuộc. Nếu bị khai thác rộng, tổ chức có thể đối mặt với rò rỉ dữ liệu, chi phí ứng cứu và thời gian khôi phục tăng cao.
Các tác nhân đe dọa đã khai thác các lỗ hổng vừa được vá trong Citrix NetScaler ADC và NetScaler Gateway, gồm CVE-2026-88772 và hoạt động liên quan đến CVE-2026-88771, để bypass xác thực và đạt quyền root trên các thiết bị lộ ra Internet. Hoạt động này được ghi nhận bởi Mandiant Consulting và Google Threat Intelligence Group (GTIG) trong tháng 9/2026, nhắm vào nhiều tổ chức tại Bắc Mỹ và châu Âu.
Sau khi xâm nhập, kẻ tấn công triển khai các PHP web shell như WHIPSHOT và một công cụ Python tunneler tên SLAPSHOT. WHIPSHOT có thể đọc lệnh và payload mã hóa Base64 từ HTTP headers, trong khi SLAPSHOT tạo kênh chuyển tiếp TCP vào mạng nội bộ để trinh sát, di chuyển ngang và thu thập thông tin xác thực. Một số mẫu còn sửa httpd.conf, ngụy trang file dưới dạng .deb, .sig hoặc yêu cầu .ico để duy trì truy cập.
Khuyến nghị ưu tiên vá ngay NetScaler ADC/Gateway, rà soát và gỡ bỏ web shell, kiểm tra thay đổi cấu hình bất thường, đồng thời tìm dấu hiệu sửa đổi /bin/sh hoặc các file trong /netscaler/gui/vpn/scripts/linux. Cần tăng giám sát log, đặc biệt các yêu cầu HTTP bất thường và dấu hiệu thực thi kéo dài trên thiết bị biên.