Attackers Exploit NetScaler Flaw for Root Access, Deploy WHIPSHOT and SLAPSHOT
The Hacker News · 30 sept, 10:24
Qué hacer: Aplica el parche de seguridad para CVE-2026-88772 y CVE-2026-88771 en todos los NetScaler ADC y NetScaler Gateway de inmediato.
Actores desconocidos explotan una falla recientemente parcheada (CVE-2026-88772) en Citrix NetScaler ADC y NetScaler Gateway para obtener acceso de raíz en organizaciones de América del Norte y Europa. Los ataques despliegan shells web PHP previamente desconocidos llamados WHIPSHOT y un túnel Python llamado SLAPSHOT para establecer persistencia, realizar reconocimiento interno y robar credenciales. La campaña ya afecta a sectores gubernamentales, financieros, tecnológicos, educativos y de servicios legales, con explotación activa en masa observada desde el 28 de septiembre de 2026.
CVE-2026-88772 es un desbordamiento de memoria con puntuación CVSS 9.5 en el manejo del protocolo DTLS (Datagram Transport Layer Security) del componente NSPPE (NetScaler Packet Processing Engine). El ataque explota un fallo en el análisis de encabezados de registro DTLS malformados durante el protocólo criptográfico previo a la autenticación, lo que provoca corrupción de memoria en el montículo del motor de paquetes y desviación del flujo de control para ejecutar shellcode arbitrario con privilegios de raíz en FreeBSD.
Tras la explotación inicial, el actor despliega WHIPSHOT (shell web PHP disfrazado como archivos .deb o .sig) que extrae comandos codificados en Base64 desde encabezados HTTP y ejecuta comandos, y SLAPSHOT (túnel TCP en Python) que actúa como puente de red interno para facilitar el reconocimiento, movimiento lateral y recopilación de credenciales. El actor modifica la configuración de httpd.conf para mapear archivos .deb como scripts PHP y usa hooks de configuración para disfrazarlas como solicitudes de imágenes (.ico). La persistencia se logra alterando permisos de /bin/sh e iniciando reinicio de la máquina. Desde el 28 de septiembre de 2026, GreyNoise reportó reconocimiento masivo evolucionando a explotación masiva generalizada para reclutamiento de botnets y venta de acceso.
Puntos clave
- CVE-2026-88772: desbordamiento de memoria DTLS, CVSS 9.5, requiere parche inmediato
- Explotación activa en masa desde 28 de septiembre de 2026 dirigida a gobiernos, finanzas, tecnología, educación
- WHIPSHOT y SLAPSHOT desplegados para persistencia, reconocimiento interno y robo de credenciales
- Herramientas dirigidas a dispositivos edge (ADC, puertas de enlace VPN, firewalls) expuestos a Internet y fuera de alcance EDR