新聞

9月底至10月初，Citrix為NetScaler修補一系列資安漏洞，其中包含已被用於實際攻擊的CVE-2026-88771、CVE-2026-88772，以及CVE-2026-88779，最近有資安公司公布新的調查結果，他們發現駭客將部分漏洞串連，藉此讓NetScaler特定服務停擺以成功入侵受害組織。

資安公司Rapid7於10月初調查一起Citrix NetScaler ADC遭到入侵的事故，駭客串連利用能造成事件記錄中毒的遠端程式碼執行（RCE）漏洞CVE-2026-88771，以及可導致SAML服務當機的CVE-2026-88779，成功入侵一臺NetScaler ADC設備，並以root權限執行程式碼，部署多種後門與持續性存取機制，其中包含PHP打造的Webshell。後續攻擊者進一步對內部網路環境進行偵察，鎖定DNS、LDAP與AD、VMware vCenter基礎設施，以及相關的管理服務等，並洩露NetScaler的組態資訊。Rapid7指出，這起活動與Google揭露的惡意程式WhipShot和SlapShot活動有所交集，不過他們發現攻擊者運作的更多細節，像是對方不斷透過當機工作流程導致NetScaler反覆重開機、建立高可用性（HA）的持續存取管道、採用Go語言打造偵察工具，以及能在FreeBSD運作的代理伺服器代理程式等。

上述資安漏洞在攻擊鏈扮演不同角色，駭客在未通過身分驗證的情況下利用CVE-2026-88771，藉由身分驗證相關請求注入惡意內容；然後利用CVE-2026-88779讓SAML服務反覆當機，觸發NetScale重新啟動，並利用設備重開機後的錯誤處理程序執行先前注入的命令，最終取得Root權限。Rapid7比對多項系統日誌與檔案時間戳記後，確認這不是單純的漏洞利用嘗試，而是已成功執行惡意程式、部署後門並進行資料蒐集的入侵事件。攻擊者甚至在數日內重複利用這套機制，於設備重新啟動後再次執行惡意程式。

取得控制權後，攻擊者在NetScaler的LogonPoint網頁資料夾植入多個PHP打造的Webshell，竄改Apache設定，讓看似CSS樣式表的網址實際對應到惡意程式，以降低異常流量被察覺的機會。此外，攻擊者將/bin/sh的權限修改為6555，利用Setuid與Setgid機制，讓原本以較低權限執行的網頁處理程序有機會取得有效root權限。

為了建立長期存取管道，攻擊者還部署Cron排程、開機執行指令碼、監控程序，以及對外連線的遠端控制代理程式，並建立HTTP通道與TCP通道，讓遭入侵的NetScaler能作為連接內部網路環境的跳板。攻擊工具也具備高可用性功能，可嘗試將惡意檔案同步至另一臺設備，並在必要時強制切換主備節點，以延續入侵狀態。

在內部偵察方面，攻擊者部署以Go語言編寫的工具，探查內部路由、DNS、LDAP與AD服務、管理介面及VMware vCenter系統，並將掃描結果彙整後傳送至外部基礎設施。攻擊者也蒐集並外傳NetScaler組態檔案、歷史組態、HTTP設定、系統備份與診斷資料。這些資料可能包含LDAP及RADIUS驗證資訊、管理設定、SSL私密金鑰與金鑰加密相關資料，增加後續憑證濫用及內部網路遭進一步入侵的風險。