Citrix NetScaler Post-Exploitation Payload Creates Superuser, Maps Web Shell to CSS-Like URLs
The Hacker News · 1 oct, 06:35
Qué hacer: Aplica parches inmediatos para CVE-2026-88771 y CVE-2026-88772 en todos los equipos Citrix NetScaler o desconéctalos de la red hasta aplicar la corrección.
Se ha documentado la explotación activa de CVE-2026-88771, una vulnerabilidad crítica de inyección de comandos sin autenticación en Citrix NetScaler ADC y NetScaler Gateway, con CVSS 9.5. Los actores de amenaza despliegan shells web, crean cuentas de superusuario y roban datos de configuración; decenas de organizaciones están afectadas tras la notificación del Centro Nacional de Ciberseguridad holandés.
El equipo THOR de LevelBlue ha documentado la explotación de CVE-2026-88771 en múltiples entornos de clientes. Los eventos maliciosos contienen nombres de usuario controlados por atacantes con variaciones de las cadenas "pitboss" y "NSPPE" asociadas a la vulnerabilidad. Los actores recuperan payloads adicionales desde servidores externos (64.94.85[.]67:443, 31.56.197[.]72:9090, 23.27.143[.]20:9000) y extraen datos de configuración de NetScaler.
Los payloads de segunda etapa incluyen un script Python que establece una reverse shell a 45.141.21[.]130 puerto TCP 443, y un script Perl ("update_c08937.pl") que modifica "/flash/nsconfig/ns.conf" para crear una cuenta local "sec_monitor" con rol de superusuario, archiva datos de configuración en "/tmp/update_result_3567cs.tgz", despliega un web shell PHP en "/var/netscaler/logon/LogonPoint/.local_journal" mapeado a URLs que simulan recursos CSS legítimos, y modifica permisos de "/bin/sh" a 6555. Mandiant y Google Threat Intelligence han confirmado que docenas de organizaciones han sido impactadas por ataques que explotan también CVE-2026-88772 para entregar shells web (WHIPSHOT) y tunelizadores Python (SLAPSHOT).
Puntos clave
- CVE-2026-88771 (CVSS 9.5): inyección de comandos sin autenticación previa en Citrix NetScaler ADC y Gateway
- Activos exploits documentados en múltiples entornos de clientes con payloads multi-etapa
- Scripts Perl y Python despliegan shells web, cuentas de superusuario y reverse shells
- El Centro Nacional de Ciberseguridad holandés envió notificación urgente sobre explotación activa
- CVE-2026-88772 también explotado activamente con herramientas WHIPSHOT y SLAPSHOT