Google ha advertido que diversos atacantes están explotando activamente dos vulnerabilidades críticas de día cero en Citrix NetScaler. El objetivo de estos ciberataques es obtener acceso de root, instalar web shells sigilosas y expandirse dentro de las redes de las víctimas. Esta actividad ha afectado a organizaciones de Norteamérica y Europa en sectores como el gubernamental, financiero, tecnológico, educativo y legal.

Google ha advertido que diversos actores de amenazas están explotando activamente dos vulnerabilidades críticas de día cero de Citrix NetScaler para obtener acceso de root, instalar web shells sigilosas y desplazarse por las redes de las víctimas.

Esta actividad ha afectado a organizaciones en América del Norte y Europa, incluyendo los sectores gubernamental, de servicios financieros, tecnología, educación, legal y de servicios profesionales.

Mandiant Consulting y el Grupo de Inteligencia de Amenazas de Google (GTIG) afirmaron que la campaña ha estado activa al menos desde principios de septiembre de 2026.

Los atacantes están abusando de CVE-2026-88772, un fallo crítico de desbordamiento de memoria en los dispositivos Citrix NetScaler ADC y NetScaler Gateway, junto con CVE-2026-88771, una vulnerabilidad de ejecución remota de código no autenticada causada por una validación de entrada incorrecta.

Citrix asignó a ambos fallos una puntuación CVSS de 9.5 y confirmó su explotación activa. El CVE-2026-88772 afecta a los dispositivos con Datagram Transport Layer Security habilitado, el cual viene activado por defecto en los servidores virtuales de VPN.

Google señaló que la explotación elude la autenticación y provoca una terminación no controlada del Motor de Procesamiento de Paquetes de NetScaler, o NSPPE.

Esto permite que los atacantes obtengan acceso de nivel root al sistema operativo FreeBSD subyacente. Después de comprometer un dispositivo, los atacantes modifican la configuración del servidor web httpd.conf para hacer que tipos de archivos engañosos se ejecuten como PHP.

Día Cero de Citrix Explotado para Desplegar Web Shells

En las intrusiones observadas, los actores de amenazas configuraron archivos de paquete .deb y archivos de firma .sig como scripts PHP ejecutables. También utilizaron alias de iconos para que una solicitud de un archivo .ico aparentemente inofensivo pudiera activar una web shell oculta.

La campaña despliega una web shell PHP recientemente identificada llamada WHIPSHOT. El malware oculta datos de comando y control codificados en Base64 en encabezados HTTP que parecen legítimos, ayudando a los atacantes a mezclar el tráfico malicioso con las solicitudes web normales.

WHIPSHOT puede retransmitir comandos y resultados mientras devuelve respuestas falsas de HTTP 404 Not Found, lo que podría engañar a los administradores que revisen los registros web.

Los investigadores también identificaron una herramienta de tunelización en Python llamada SLAPSHOT. El malware escucha en un puerto de bucle local (loopback) y actúa como proxy del tráfico TCP arbitrario desde el dispositivo NetScaler comprometido hacia la red interna.

Esta capacidad permite a los atacantes realizar reconocimientos, conectarse a hosts internos, robar credenciales y apoyar el movimiento lateral. En una intrusión, se informó que los operadores utilizaron el proxy para el reconocimiento interno manual y el robo de credenciales.

Los atacantes también intentaron preservar el acceso de nivel root estableciendo el bit de permiso setuid en /bin/sh. Esto hace que la shell del sistema se ejecute con privilegios elevados, incluso cuando los comandos provienen de un proceso del servidor web con menos privilegios. En algunos casos, los atacantes reiniciaron el dispositivo o reiniciaron Apache para activar los cambios de configuración maliciosos.

Tus equipos de seguridad deben actualizar urgentemente los sistemas NetScaler afectados. Citrix enumera las versiones corregidas, incluyendo NetScaler 14.1-73.37 y posteriores, así como NetScaler 13.1-64.23 y posteriores; también están disponibles versiones corregidas equivalentes de FIPS.

Tú, como administrador, debes inspeccionar /etc/httpd.conf en busca de directivas AddHandler, AliasMatch y PHP sospechosas; buscar código PHP oculto en archivos .deb o .sig en los directorios de scripts de VPN; y verificar la existencia de /tmp/.uxdport o /tmp/.uxdlock, que pueden indicar actividad de SLAPSHOT.

Un /bin/sh con setuid habilitado, bloqueos inesperados de NSPPE, fallos en el saludo (handshake) de DTLS y solicitudes inusuales a /vpn/media/ o /vpn/scripts/ deben tratarse como indicadores de compromiso de alta prioridad.

GreyNoise observó intentos de explotación antes de que Citrix revelara públicamente los fallos, incluyendo actividad desde 149.104.78.141 el 24 de septiembre. Este hallazgo resalta el riesgo continuo que representan los dispositivos perimetrales expuestos a internet, que a menudo carecen de cobertura de detección de endpoints mientras proporcionan acceso directo a entornos internos sensibles.

Fuentes:
https://cybersecuritynews.com/citrix-0-day-vulnerabilities-webshells/