NetScaler CVE-2026-88772零日RCE利用
概述Google Mandiant 与 Google Threat Intelligence Group（GTIG）公布了 Citrix NetScaler 零日漏洞在野攻击细节。漏洞编号 CVE-2026-88771 和 CVE-2026-88772，影响 NetScaler ADC、NetScaler Gateway，可导致未认证远程代码执行。Citrix 已在周末发布补丁。补丁发布前，政府网络安全机构和安全公司曾罕见建议管理员立即将受影响设备断开互联网。
攻击活动
Mandiant 与 GTIG 的报告聚焦 CVE-2026-88772。攻击在 2026 年 9 月下旬被发现，但调查显示相关零日活动至少从 9 月初开始。受影响组织可能位于北美和欧洲，覆盖政府、金融服务、教育、法律和专业服务行业。
攻击者利用漏洞获得 NetScaler ADC 和 Gateway 设备的 root 权限，随后修改设备 Web 服务器配置，植入可以 root 权限运行的 web shell。Mandiant 发现此前未见过的恶意软件：PHP web shell WHIPSHOT 和 Python 隧道工具 SLAPSHOT。两者配合，为攻击者提供从被入侵设备进入受害者内网的通道，可用于内部侦察、横向移动和凭据窃取。至少一次入侵中，攻击者通过隧道手动探索内网并窃取凭据。Mandiant 还发现迹象显示，威胁行为者可能在多个受感染环境中管理类似 web shell。
Mandiant CTO Charles Carmakal 表示，已有数十家组织受影响，其中包括疑似国家支持的黑客组织。他预计近期会有多种威胁行为者广泛、机会性地利用 CVE-2026-88772 和 CVE-2026-88771。安全专家 Kevin Beaumont 称，截至周二已知超过 100 家受害组织，攻击活动看起来属于间谍行动。
观测与暴露面
WatchTowr 是最早确认在野利用的安全公司之一，并发布了 CVE-2026-88772 和 CVE-2026-88771 的技术细节。GreyNoise 在 9 月 24 日观察到零日利用尝试，早于漏洞披露和补丁发布。GreyNoise 称攻击者试图在 /bin/sh 上设置 setuid 和 setgid 位以获取 root shell，并安装一个受密码保护的 webshell，该 webshell 通过攻击者发送的 cookie 值通信，可能用于避免命令留在 Web 日志中。Palo Alto Networks 报告称，截至 9 月 27 日，约有 50,000 个 NetScaler 实例可能暴露。
处置线索
原文明确提到，Citrix 已发布补丁；在补丁发布前，政府网络安全机构和安全公司曾建议管理员立即断开受影响 NetScaler 设备与互联网的连接。管理员可结合原文提到的入侵痕迹进行核查：设备 Web 服务器配置被修改、以 root 权限运行的 web shell、WHIPSHOT 与 SLAPSHOT、/bin/sh 的 SUID/SGID 位变化，以及通过 cookie 值通信的受密码保护 webshell。
Re: NetScaler CVE-2026-88772零日RCE利用
楼主整理得很及时，这个零日看着确实挺严重。未认证 RCE 还能拿到 root，攻击者随后改 Web 服务器配置、放 root 权限 web shell，再通过 WHIPSHOT 和 SLAPSHOT 进内网做侦察、横向移动和凭据窃取，这条链路比单纯设备被控麻烦得多。Citrix 已经出补丁，但补丁前政府机构和安全公司建议直接断网，这个信号很不寻常，说明风险窗口很高。手上有 NetScaler ADC 或 Gateway 的话，最好尽快确认补丁状态，同时重点查 Web 服务器配置有没有被动过、有没有 root 权限 web shell、/bin/sh 的 SUID/SGID 位是否异常，以及 WHIPSHOT、SLAPSHOT 和通过 cookie 通信的受密码保护 webshell。如果已经发现痕迹，恐怕不能只打补丁，还要考虑内网横向和凭据泄露的后续影响。感谢分享，这类信息越早扩散越好。Re: NetScaler CVE-2026-88772零日RCE利用
感谢分享，这条确实很关键。两个 CVE 都影响 NetScaler ADC 和 Gateway，还能未认证远程代码执行，而且已经出现在野零日利用，补丁前甚至建议直接断开互联网，风险级别很高。补丁虽然已经发布，但已经被打过的设备不能只看补丁状态，最好按文中线索核查：设备 Web 服务器配置是否被改、有没有以 root 权限运行的 web shell、WHIPSHOT 和 SLAPSHOT、/bin/sh 的 SUID/SGID 位变化，以及通过 cookie 值通信的受密码保护 webshell。另外，约五万个实例可能暴露、已知超过一百家受害组织，涉及政府、金融、教育、法律和专业服务，北美和欧洲都有，确实不能掉以轻心。谢谢整理。Re: NetScaler CVE-2026-88772零日RCE利用
感谢楼主整理，这个零日看着确实挺严重。关键点我记下了：CVE-2026-88771 和 CVE-2026-88772 影响 NetScaler ADC 和 Gateway，可未认证远程代码执行，Citrix 已在周末发布补丁，补丁前还有机构建议直接断开互联网。攻击者拿到 root 后会改设备 Web 服务器配置、植入 root 权限 web shell，还用了 WHIPSHOT 和 SLAPSHOT 建隧道进内网，涉及侦察、横向移动和凭据窃取，北美和欧洲的政府、金融、教育、法律及专业服务行业都可能受影响。 排查时除了尽快打补丁，也要重点看 Web 配置有没有被动过、有没有异常 root web shell、/bin/sh 的 SUID/SGID 位变化、WHIPSHOT 和 SLAPSHOT，以及通过 cookie 值通信的受密码保护 webshell。GreyNoise 和 Palo Alto 提到的利用时间和暴露数量也说明攻击面不小，有对外暴露 NetScaler 的单位最好尽快核查。谢谢分享。
页:
[1]