Atacantes están explotando una vulnerabilidad crítica de inyección de comandos (CVE-2026-88771) en Citrix NetScaler para ejecutar código remoto sin autenticación. Los atacantes instalan shells web, crean cuentas con privilegios de superusuario y roban datos de configuración del sistema. Se han identificado scripts de Python y Perl diseñados para establecer conexiones remotas y borrar rastros forenses.







Se ha observado que diversos actores de amenazas están explotando una vulnerabilidad crítica de inyección de comandos pre-autenticación en Citrix NetScaler ADC y NetScaler Gateway para desplegar web shells e intentar el robo de datos de configuración.

El equipo de Operaciones de Búsqueda de Amenazas e Investigación (THOR) de LevelBlue, que analizó la actividad de explotación en múltiples entornos de clientes, afirmó haber identificado eventos de autenticación maliciosos en NetScaler que contienen nombres de usuario controlados por el atacante, diseñados para aprovechar el CVE-2026-88771.

El CVE-2026-88771 (puntuación CVSS: 9.5) es una vulnerabilidad de validación de entrada incorrecta que podría permitir que un atacante no autenticado ejecute comandos arbitrarios.

Este fallo de seguridad, junto con el CVE-2026-88772, se reveló la semana pasada tras informes de que el Centro Nacional de Seguridad Cibernética de los Países Bajos (NCSC-NL) supuestamente envió una pre-notificación a organizaciones en los Países Bajos instándolas a apagar sus dispositivos debido a una explotación activa. Al momento de escribir esto, no hay detalles sobre quién está detrás de estos esfuerzos.

"Una de las características más consistentes en los eventos identificados fue que los datos de autenticación controlados por el atacante contenían variaciones de las cadenas pitboss y NSPPE asociadas con la explotación del CVE-2026-88771", señaló LevelBlue en su informe.

Se han observado otros intentos utilizando curl o wget para obtener payloads adicionales desde servidores externos, o para extraer datos de configuración de NetScaler:

* 64.94.85[.]67:443/update_c08937.pl
* 31.56.197[.]72:9090/lula
* 31.56.197[.]72:9090/lula
* 23.27.143[.]20:9000/main.py

"En conjunto, los comandos observados demuestran una actividad que va más allá de la validación básica de la vulnerabilidad", dijo LevelBlue. "Los intentos incluyeron la recuperación y ejecución de payloads, así como la recolección y preparación de datos de configuración de NetScaler".

Entre los payloads de la segunda etapa destaca un script de Python ("main.py") diseñado para establecer una shell inversa hacia "45.141.21[.]130" a través del puerto TCP 443. También busca procesos en ejecución asociados con "/var/python/bin/customsnmpd" y los termina forzosamente mediante el comando "kill -9".

Otro payload de segunda etapa, "update_c08937.pl", es un script de Perl con varias capacidades de post-explotación:

* Modificar "/flash/nsconfig/ns.conf" para crear una cuenta local llamada sec_monitor y asignarle el rol de superusuario.
* Archivar el directorio "/flash/nsconfig" en "/tmp/update_result_3567cs.tgz" y cargar el archivo resultante con los datos de configuración de NetScaler a "64.94.85[.]67:443". Luego, el script elimina el archivo y se borra a sí mismo para reducir el rastro forense en el disco.
* Cambiar los permisos de "/bin/sh" a 6555 y desplegar una web shell PHP en "/var/netscaler/logon/LogonPoint/.local_journal" para la ejecución remota de comandos y la carga y descarga de archivos.
* Modificar "/etc/httpd.conf" para habilitar la ejecución de PHP y mapear la web shell a URLs que parecen recursos CSS legítimos de NetScaler, corroborando la actividad observada por GreyNoise.

"Mientras que algunos intentos usaron comandos como whoami para probar la ejecución de comandos, otros intentaron recuperar payloads adicionales, recolectar datos de configuración de NetScaler, establecer shells inversas, crear cuentas privilegiadas y desplegar web shells", afirmó LevelBlue.

La revelación se produce un día después de que Mandiant Consulting y Google Threat Intelligence Group (GTIG) advirtieran que decenas de organizaciones se han visto afectadas por ataques que explotan el CVE-2026-88772 para entregar web shells PHP, como WHIPSHOT, y un tunelizador de Python llamado SLAPSHOT.

Fuente:
THN