Citrix NetScaler ADCとゲートウェイアプライアンスがアクティブな攻撃のターゲットに

要約

攻撃者は、Citrix NetScaler ADCおよびGatewayアプライアンスのゼロデイ脆弱性を積極的に悪用し、ルートレベルのアクセスを取得しています。この攻撃には、WHIPSHOTを含むカスタムPHPウェブシェルのデプロイメントや、SLAPSHOTとして知られるPythonベースのTCPトンネルの使用が含まれています。これらの悪意のあるツールは、内部偵察、資格情報の窃取、および侵害された企業ネットワーク内の横移動を可能にします。

調査

MandiantおよびGoogle Threat Intelligence Groupは、CVE-2026-88772およびCVE-2026-88771の悪用を2026年9月初旬にさかのぼりました。研究者は、攻撃者が不正フォーマットされたDTLSレコードヘッダーを利用してNSPPEプロセス内のヒープメモリの破壊を引き起こすことを発見しました。次の活動には、「 httpd.conf 」を永続化のために変更し、「 /bin/sh 」にSUIDビットを割り当てて特権昇格を可能にすることが含まれます。

緩和策

組織は、Citrix NetScalerアプライアンスを修正済みバージョン（14.1-73.37+または13.1-64.23+）にアップグレードすることを優先する必要があります。即時のパッチ適用が困難な場合、ディフェンダーは可能な限りDTLSを無効にし、UDP/443の上流IP許可リストを施行するべきです。特にTCP/25を介したSMTPトラフィックを含む外向きネットワーク接続を制限することで、さらなる露出を減らし、攻撃者の通信を妨害することができます。

対応

侵害が疑われる場合、セキュリティチームは直ちに影響を受けたNetScalerアプライアンスを隔離し、有害な構成の伝播を防ぐためにHA同期を停止するべきです。管理者の資格情報、SSHキー、TLS証明書を含むすべてのアプライアンスの秘密をローテーションし、アクティブな管理、ゲートウェイおよびVPNセッションを取り消し、横移動の証拠を見つけるために下流のインフラストラクチャを徹底的に調査してください。

シミュレーション実行

• 攻撃ナラティブ＆コマンド: 攻撃者はLinuxベースのウェブサーバーへの初期アクセスを取得し、永続的なウェブシェルを確立しようとしています。ウェブサーバーの構成ミスを利用して（Citrix NetScalerの脆弱性をシミュレート）、攻撃者は構成を変更して「 .deb 」ファイルをPHPスクリプトとして扱うようにします。これにより、攻撃者はDebianパッケージとして偽装した悪意のあるペイロードをアップロードすることができ、サーバーがそれをコードとして実行し、リモートコマンド実行（RCE）インターフェースを攻撃者に提供します。

• 回帰テストスクリプト:

  #!/bin/bash
  # "Detect PHP Execution Configuration Exploitation"ルールをトリガーするためのシミュレーションスクリプト。
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  # シミュレーション目的でターゲットが存在することを確認
  sudo mkdir -p /etc/apache2/mods-enabled/
  sudo touch $TARGET_CONF
  
  echo "[+] 構成の悪用をシミュレート中..."
  
  # AddHandler検出パターンをトリガー
  echo "AddHandler application/x-httpd-php .deb" | sudo tee -a $TARGET_CONF > /dev/null
  
  # AliasMatch検出パターンをトリガー
  echo "AliasMatch ^/vpn/media/(.+).ico$ /var/netscaler/gui/vpn/scripts/linux/$1.sig" | sudo tee -a $TARGET_CONF > /dev/null
  
  # php_flagエンジンパターンをトリガー
  echo "php_flag engine on" | sudo tee -a $TARGET_CONF > /dev/null
  
  echo "[+] シミュレーション完了。SIEMでアラートを確認してください。"

• クリーンアップコマンド:

  #!/bin/bash
  # シミュレートされた悪意のある構成を削除するためのクリーンアップスクリプト。
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  if [ -f "$TARGET_CONF" ]; then
      echo "[+] シミュレーションファイルをクリーンアップしています..."
      sudo rm "$TARGET_CONF"
  fi
  
  echo "[+] クリーンアップ完了。"