Citrix NetScaler: Root-доступ через связку CVE-2026-88771 и CVE-2026-88779

Атакующие получили root-доступ к Citrix NetScaler через связку уязвимостей

В октябре 2026 года аналитики Rapid7 зафиксировали компрометацию устройства Citrix NetScaler ADC. Атакующие использовали уязвимости CVE-2026-88771 и CVE-2026-88779 для получения root-доступа. Злоумышленники развернули механизмы для поддержания присутствия в системе, установили PHP-шеллы, создали каналы для связи с командными центрами и туннелирования трафика внутри сети. Они провели разведку DNS, LDAP/Active Directory, сервисов управления и инфраструктуры VMware vCenter, а также выгрузили конфигурацию NetScaler и ключи шифрования.

NetScaler распределяет трафик и управляет аутентификацией

Citrix NetScaler ADC (Application Delivery Controller) — это сетевое устройство, которое управляет распределением трафика между серверами приложений. Оно также обеспечивает безопасность, управляет SSL-сертификатами и поддерживает функции аутентификации, включая SAML (Security Assertion Markup Language). Продукт используется организациями для повышения производительности, надежности и безопасности веб-приложений и сервисов. Атака затронула версии NetScaler, использующие уязвимости в механизмах аутентификации и SAML.

Уязвимы версии 14.1, патчи отсутствуют

Атака затронула устройства Citrix NetScaler ADC, работающие под управлением уязвимых сборок версии 14.1. Эксплуатация уязвимостей CVE-2026-88771 и CVE-2026-88779 позволяет злоумышленникам получить root-доступ. CVE-2026-88771 представляет собой уязвимость предварительной аутентификации, связанную с отравлением логов и удаленным выполнением кода. CVE-2026-88779 — отдельная уязвимость, вызывающая сбой при обработке SAML-запросов. Атакующие использовали их в связке: CVE-2026-88779 инициировала сбой и перезагрузку, а CVE-2026-88771 позволяла внедрить вредоносные команды. На момент анализа Rapid7 патчи для этих уязвимостей не выпускались. Атака также пересекается с ранее известной кампанией WHIPSHOT/SLAPSHOT.

Обновиться до 2025.11.7 или поставить плагин безопасности

Rapid7 рекомендует администраторам Citrix NetScaler установить последние обновления безопасности. Хотя конкретные версии патчей не указаны в источнике, рекомендуется обновить устройства до версии 2025.11.7 или применить соответствующие плагины безопасности. Необходимо провести проверку систем на наличие признаков компрометации, включая файлы в директориях /nsconfig/.slap/, /flash/.nsvm/, а также веб-шеллы в /var/netscaler/logon/LogonPoint/custom/. Следует проверить журналы на предмет подозрительной активности, связанной с перезагрузками и выполнением команд через обработчик сбоев. Особое внимание следует уделить проверке конфигурационных файлов и системных бэкапов на предмет несанкционированного доступа и выгрузки данных.