Due vulnerabilità zero-day di Citrix NetScaler, identificate come CVE-2026-88771 e CVE-2026-88772, sono state sfruttate in attacchi reali contro appliance ADC e Gateway non protette. Mandiant collega in particolare CVE-2026-88772 a intrusioni in cui gli aggressori ottengono accesso root, installano web shell e creano un canale verso la rete interna.
Citrix ha pubblicato gli aggiornamenti di sicurezza, ma le evidenze raccolte da Mandiant e GreyNoise indicano che gli attacchi erano già in corso prima della divulgazione pubblica delle falle. Le organizzazioni colpite avrebbero incluso, secondo Mandiant, realtà dei settori governativo, finanziario, scolastico, legale e dei servizi professionali in Nord America ed Europa.
Due falle sfruttate prima delle patch
Citrix ha comunicato domenica le vulnerabilità CVE-2026-88771 e CVE-2026-88772, entrambe confermando lo sfruttamento su installazioni NetScaler prive delle mitigazioni necessarie. Alcuni ricercatori hanno chiamato il gruppo di falle “PitScaler”, una denominazione informale e non un nome assegnato da Citrix.
CVE-2026-88771 è una vulnerabilità di esecuzione di codice da remoto senza autenticazione che interessa le distribuzioni NetScaler ADC e Gateway. CVE-2026-88772 è invece un overflow di memoria che, quando DTLS è attivo, può causare esecuzione di codice da remoto oppure un denial of service.
GreyNoise ha rilevato un tentativo di sfruttamento contro un Citrix NetScaler Gateway il 24 settembre, tre giorni prima della divulgazione pubblica delle due CVE. Mandiant sostiene che la campagna sia iniziata almeno ai primi di settembre.
Come gli aggressori mantengono l’accesso
Nell’analisi attribuita a CVE-2026-88772, l’invio di record DTLS appositamente malformati o frammentati provocherebbe una corruzione dei confini della memoria nell’engine dei pacchetti NetScaler. Il risultato osservato da Mandiant è l’interruzione inattesa del processo NSPPE e l’esecuzione di codice con privilegi root sul sistema FreeBSD sottostante.
Una volta entrati, gli aggressori hanno installato web shell PHP e modificato la configurazione del server web NetScaler, in particolare /etc/httpd.conf. Lo scopo è far trattare come PHP file con estensioni che normalmente non sarebbero eseguibili, nascondendo così le richieste malevole dietro apparenti file CSS, immagini ICO, pacchetti Debian o file SIG.
In alcuni casi le web shell rispondevano con falsi errori HTTP 404 pur eseguendo i comandi ricevuti. Per conservare i privilegi elevati, gli operatori avrebbero inoltre cambiato i permessi di /bin/sh, impostando il bit setuid: i comandi lanciati tramite le shell potevano quindi continuare a operare con privilegi root.
WHIPSHOT e SLAPSHOT per raggiungere la rete interna
Mandiant ha individuato due famiglie di malware non documentate in precedenza: WHIPSHOT e SLAPSHOT. WHIPSHOT è una web shell PHP camuffata da pacchetto Debian e collocata nella directory degli script VPN di NetScaler; funziona anche da proxy HTTP per il secondo componente.
SLAPSHOT è uno strumento di tunneling TCP in Python. Collega l’appliance compromessa ai dispositivi della rete interna, consentendo di aprire connessioni verso host interni, scambiare dati e chiudere le sessioni al termine dell’attività. In almeno un’intrusione osservata, il proxy è stato usato per ricognizione manuale e furto di credenziali.
Il malware può terminarsi dopo un periodo di inattività, un comportamento che può rendere più difficile rilevarlo. La posizione esposta in rete delle appliance ADC e Gateway e il loro ruolo al confine dell’infrastruttura aumentano l’impatto potenziale di un accesso iniziale riuscito.
Aggiornare resta l’intervento decisivo
Mandiant invita a installare con priorità gli ultimi aggiornamenti di sicurezza Citrix e a verificare possibili compromissioni già avvenute. Tra gli indicatori segnalati figurano handler o alias PHP non autorizzati in httpd.conf, file .deb o .sig contenenti codice PHP, arresti anomali di NSPPE, risposte HTTP 404 insolite e i file /tmp/.uxdport e /tmp/.uxdlock, associati a SLAPSHOT.
Vanno controllati anche eventuali permessi setuid root su /bin/sh e processi Python sospetti, inclusi quelli avviati con nohup o con payload codificati in Base64. Riavvii dell’appliance o del server web possono essere stati usati dagli aggressori per rendere effettive le modifiche alla configurazione.
Per chi non può aggiornare subito, Mandiant suggerisce di disabilitare DTLS quando compatibile con l’operatività e di bloccare a monte il traffico UDP sulla porta 443 se DTLS non serve. Questa misura riguarda però soltanto CVE-2026-88772: Citrix conferma che anche CVE-2026-88771 è stata sfruttata, quindi gli aggiornamenti restano l’unico intervento indicato per coprire entrambe le falle.
FAQ
Quali prodotti Citrix sono coinvolti?
CVE-2026-88771 interessa le distribuzioni NetScaler ADC e Gateway. La fonte descrive CVE-2026-88772 come una falla legata a DTLS, attivo sulle appliance interessate.
Disabilitare DTLS risolve il problema?
No. Può essere una mitigazione temporanea per CVE-2026-88772, se DTLS non è necessario, ma non protegge dalla distinta CVE-2026-88771 già sfruttata negli attacchi.
Quali segnali possono indicare una compromissione?
Le verifiche indicate comprendono modifiche sospette a httpd.conf, file PHP mascherati da .deb o .sig, alterazioni dei permessi di /bin/sh, crash NSPPE e file o processi riconducibili a SLAPSHOT.
Considerazioni finali
Questa campagna mostra quanto sia delicata la posizione delle appliance esposte sul perimetro di rete: l’accesso root non rimane confinato al dispositivo, ma può diventare un punto di passaggio verso sistemi interni. Le web shell mascherate da risorse apparentemente innocue e le risposte 404 fasulle rendono inoltre insufficiente una verifica superficiale.
La distinzione tra le due CVE è il dettaglio più importante sul piano operativo. Disabilitare DTLS può ridurre il rischio legato a CVE-2026-88772, ma non mette al sicuro dall’altra falla già sfruttata: per entrambe, l’aggiornamento Citrix è la misura risolutiva indicata dalle analisi disponibili.