CVE-2026-88771 のエクスプロイト、Citrix NetScaler アプライアンスを標的に

概要

脅威アクターグループが、Citrix NetScaler のゼロデイ脆弱性 CVE-2026-88771 を積極的に悪用し、複数のウェブシェルとリモート管理ツールを展開しています。観測された活動には、PHP ベースのウェブシェル、Platypus フリート管理フレームワーク、Perl ベースのインストーラー、Python リバースシェルが含まれています。悪用は公開前および公開直後の両方で検出されました。

調査

eSentire の Threat Response Unit は、NetScaler アプライアンスを標的とするいくつかの独自の攻撃クラスターを特定しました。研究者たちは活動を 4 つのカテゴリーに分類しました: 軽量な PHP ウェブシェルクラスター、Platypus デプロイクラスター、Perl ベースのウェブシェルインストーラークラスター、Python リバースシェルクラスターです。技術分析は、ウェブシェルのソースコード、ステージングスクリプト、およびエクスプロイト後のコマンド動作に重点を置いています。

緩和策

組織は、ベンダーのセキュリティ速報（例: CTX697096）に従って Citrix NetScaler アプライアンスのパッチ適用を優先すべきです。セキュリティチームは、許可されていない Apache の設定変更、SUID や SGID ビットを伴う /bin/sh 権限の変更、NetScaler ディレクトリ内に作成された予期しないファイルを監視する必要があります。強力な出力フィルタリングも、リバースシェル C2 コミュニケーションを妨害するのに役立ちます。

対応策

エクスプロイトの痕跡が検出された場合、影響を受けた NetScaler アプライアンスを直ちに隔離して横移動を制限します。Apache アクセスログ、/etc/httpd.conf や /flash/nsconfig/ns.conf などのシステム設定ファイル、およびスケジュールされた cron ジョブを確認します。調査で判明した許可されていないローカルアカウント、悪意のあるウェブシェル、その他の持続メカニズムを特定して削除します。

シミュレーション実行

• 攻撃の流れとコマンド: 攻撃者はウェブサーバーへの初期アクセスを獲得し、ウェブシェルを実行するために Apache の主要な設定ファイルを変更します。攻撃者はすべてのファイルに対して PHP エンジンを「オン」に強制するディレクティブを追加し、 .txt ファイルに PHP コードを含めてスクリプトとして実行します。この方法は、ファイルの名前を変更せずに即時実行を確保するために選択されました。

• 回帰テストスクリプト:

  #!/bin/bash
  # シミュレーション: 許可されていない Apache 構成変更
  # 目的: 検出ルールをトリガーするために 'php_flag engine on' を /etc/httpd.conf に追加する。
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  if [ ! -f "$TARGET_FILE" ]; then
      echo "エラー: $TARGET_FILE は存在しません。シミュレーションを続行できません。"
      exit 1
  fi
  
  echo "[+] 攻撃をシミュレート中: $TARGET_FILE にペイロード: $PAYLOAD を追加"
  
  # 攻撃者が昇格された特権を持つ (エクスプロイト後に典型的) と仮定し、sudo を使用
  
  echo "$PAYLOAD" | sudo tee -a "$TARGET_FILE" > /dev/null
  
  if [ $? -eq 0 ]; then
      echo "[+] 攻撃シミュレーションに成功しました。SIEM でアラートを確認してください。"
  else
      echo "[-] 攻撃シミュレーションに失敗しました。"
  fi

• クリーンアップコマンド:

  #!/bin/bash
  # クリーンアップ: /etc/httpd.conf から注入されたペイロードを削除する
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  echo "[+] クリーンアップ中: $TARGET_FILE から $PAYLOAD を削除"
  sudo sed -i "|$PAYLOAD|d" "$TARGET_FILE"
  
  echo "[+] クリーンアップ完了。"