Citrix NetScaler zero-day уже использовали в реальных атаках: злоумышленники ставили веб-шеллы, получали root-доступ и прокладывали тоннели во внутренние сети компаний. По данным BleepingComputer, кампания затронула организации в Северной Америке и Европе, включая госсектор, финансы, образование, юридические и профессиональные услуги. Для русскоязычных IT-команд это не абстрактная новость про чужой периметр: NetScaler часто стоит ровно там, где больнее всего, — на входе в корпоративную сеть.
Citrix раскрыла две уязвимости в NetScaler ADC и NetScaler Gateway в воскресенье, 27 сентября 2026 года. Речь о CVE-2026-88771 и CVE-2026-88772, которые некоторые исследователи уже называют PitScaler. Первая — unauthenticated remote code execution во всех развертываниях NetScaler ADC и Gateway. Вторая — переполнение памяти, которое при включенном DTLS может привести к удаленному выполнению кода или отказу в обслуживании. Citrix подтвердила эксплуатацию обеих проблем на системах без mitigations и выпустила обновления безопасности.
Первые публичные признаки беды появились еще до бюллетеня Citrix. Администраторы NetScaler на выходных начали писать, что поставщики IT-услуг, команды безопасности, CERT и национальные киберагентства частным порядком предупреждают компании о двух непатченных zero-day. В отдельных случаях организациям советовали временно отключать уязвимые appliance. Позже watchTowr сообщил, что проверил данные об эксплуатации двух RCE-уязвимостей вживую, а Citrix готовит исправления.
GreyNoise зафиксировала попытку атаки на Citrix NetScaler Gateway 24 сентября — за три дня до публичного раскрытия CVE. По данным компании, активность шла с IP-адреса 149.104.78.141, а платформа увидела атаку еще до появления готовых CVE-детектов. Злоумышленник пытался изменить /bin/sh, чтобы получить root shell, и установить защищенный паролем PHP web shell в /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver. Дополнительно атакующий правил /etc/httpd.conf, чтобы запросы к файлам, похожим на CSS, фактически открывали скрытый PHP-шелл.
Mandiant описывает эксплуатацию CVE-2026-88772 жестче: специально сформированные или фрагментированные заголовки записей приводили к повреждению границ heap-памяти в packet engine NetScaler. В результате NetScaler Packet Processing Engine аварийно завершался, а атакующие получали выполнение кода с root-привилегиями на FreeBSD-платформе устройства. Это неприятный класс атак: edge-устройство доступно из интернета, стоит перед внутренней сетью и часто не покрыто тем же EDR-контролем, что обычные серверы.
После первичного доступа атакующие маскировали веб-шеллы под безобидные файлы и меняли конфигурацию веб-сервера. В одном инциденте Mandiant увидела, что .deb-файлы начали исполняться как PHP. Это позволяло держать шеллы в каталогах, где обычно лежит клиентское ПО NetScaler. В других случаях использовались .sig-файлы, а запросы к изображениям .ico в /vpn/media/ перенаправлялись на вредоносные PHP-файлы. Некоторые шеллы при выполнении команд возвращали фальшивые HTTP 404, чтобы трафик выглядел менее подозрительно.
Google и Mandiant также выделили две ранее неописанные вредоносные семьи: WHIPSHOT и SLAPSHOT. WHIPSHOT — PHP web shell, замаскированный под Debian-пакет и размещенный в директории VPN-скриптов NetScaler. Он работает как HTTP-прокси для SLAPSHOT: достает Base64-данные из HTTP-заголовков и передает их tunneling malware на скомпрометированном устройстве. SLAPSHOT написан на Python и строит TCP-тоннель между NetScaler и внутренними хостами. Через него атакующие могут подключаться к системам за периметром, гонять данные туда-обратно и закрывать сессии после работы.
В одном из наблюдавшихся вторжений этот прокси использовали вручную: для разведки и кражи учетных данных. Это важная деталь для бизнес-аудитории. Citrix NetScaler zero-day здесь не заканчивается на компрометации одного appliance. Устройство становится плацдармом: сначала веб-шелл на периметре, затем тоннель, затем движение по внутренней сети. Если в компании есть слабые сервисные учетные записи, старые админские пароли или плоская сеть, атака быстро перестает быть историей про один CVE.
Для сохранения root-доступа атакующие меняли права на /bin/sh, выставляя setuid root. Это позволяло командам, запущенным через веб-шеллы, выполняться с повышенными привилегиями, хотя веб-сервер обычно работает от менее привилегированного пользователя. Чтобы применить изменения конфигурации, злоумышленники перезагружали NetScaler appliance или рестартовали веб-сервер. Mandiant советует искать не только известные индикаторы, но и признаки вмешательства в конфигурацию: лишние PHP handler или alias в httpd.conf, подозрительные .deb и .sig с PHP-кодом, необычные 404-ответы, падения NSPPE, файлы /tmp/.uxdport и /tmp/.uxdlock, связанные со SLAPSHOT.
Главная рекомендация скучная, но рабочая: ставить последние security updates для NetScaler ADC и Gateway. Для тех, кто не может обновиться сразу, Mandiant предлагает отключить DTLS там, где это допустимо, и блокировать входящий UDP/443 выше по сети, если DTLS не нужен. Но есть нюанс, из-за которого временные меры выглядят тонким льдом: эти mitigations относятся к CVE-2026-88772 и не закрывают отдельно эксплуатируемую CVE-2026-88771. Поэтому патчинг остается единственным способом закрыть обе дыры, а проверка компрометации нужна даже тем, кто уже успел обновиться.
История с NetScaler снова показывает, что edge-инфраструктура стала удобной зоной для атакующих: интернет-доступ есть, привилегии высокие, видимость у SOC часто хуже, чем на серверах и рабочих станциях. Следующий практичный вопрос для команд безопасности — не только кто уже поставил патч, а кто умеет быстро доказать, что его периметр до патча не превратили в тихий тоннель во внутреннюю сеть.