گزارش‌های اخیر نشان‌دهنده بهره‌برداری فعال از دو آسیب‌پذیری زیرو دِی (Zero-Day) با شناسه‌های CVE-2026-88772 و CVE-2026-88771 در تجهیزات Citrix NetScaler ADC و NetScaler Gateway است. این حملات که از اوایل سپتامبر ۲۰۲۶ آغاز شده‌اند، سازمان‌های دولتی، خدمات مالی، آموزشی و حقوقی در آمریکای شمالی و اروپا را هدف قرار داده‌اند.
جزئیات فنی و مکانیسم نفوذ
آسیب‌پذیری CVE-2026-88772 با دور زدن مکانیزم‌های احراز هویت (Authentication Bypass) و ایجاد اختلال در موتور پردازش بسته‌های NetScaler (NSPPE)، دسترسی سطح Root را برای عامل تهدید فراهم می‌کند. تحلیل‌ها نشان می‌دهد که ارسال هدرهای رکورد خراب یا تکه‌تکه شده (Fragmented) در طول دست‌تکانی رمزنگاری DTLS، منجر به فساد حافظه Heap در موتور پردازش بسته شده و اجازه اجرای Shellcode دلخواه را بر روی پلتفرم FreeBSD می‌دهد.
تثبیت جایگاه و پایداری (Persistence)
عامل تهدید پس از نفوذ اولیه، از روش‌های پیچیده‌ای برای حفظ دسترسی خود استفاده می‌کند:
- تغییر پیکربندی وب‌سرور: با اصلاح فایل
httpd.conf، سیستم را مجبور می‌کند تا فایل‌هایی با پسوندهای غیرمجاز مانند.debیا.sigرا به عنوان اسکریپت‌های PHP اجرا کند. - استتار در قالب آیکون: در برخی موارد، درخواست‌های مربوط به فایل‌های
.icoدر مسیرهای خاص، به صورت مخفیانه به فایل‌های.sig(که در واقع وب‌شل هستند) هدایت می‌شوند. - ارتقای سطح دسترسی: برای اطمینان از اجرای دستورات با سطح دسترسی بالا، عامل تهدید بیت setuid را روی فایل اجرایی
/bin/shفعال می‌کند تا تمامی درخواست‌های وب‌سرور با دسترسی Root اجرا شوند.
تحلیل بدافزارهای مورد استفاده
در این کمپین، دو ابزار سفارشی شناسایی شده است:
- WHIPSHOT: یک وب‌شل PHP که به عنوان یک پل ارتباطی HTTP عمل می‌کند. این بدافزار دستورات Base64-encoded را از هدرهای HTTP دریافت کرده و به بدافزار دوم منتقل می‌کند.
- SLAPSHOT: یک ابزار تونل‌زنی (Tunneler) نوشته شده به زبان Python که ترافیک را به شبکه‌های داخلی هدایت می‌کند تا شناسایی شبکه (Reconnaissance) و سرقت اعتبارنامه‌ها (Credential Theft) را تسهیل نماید.
راهکارهای مقابله و توصیه‌های امنیتی
به مدیران SOC و مهندسین امنیت توصیه می‌شود اقدامات زیر را با اولویت بالا اجرا کنند:
۱. به‌روزرسانی فوری (Patching)
استفاده از آخرین نسخه‌های اصلاح شده Citrix:
NetScaler 14.1: ارتقا به نسخه 14.1-73.37 یا بالاتر.
NetScaler 13.1: ارتقا به نسخه 13.1-64.23 یا بالاتر.
۲. اقدامات کاهش ریسک (Mitigation)
- غیرفعال‌سازی DTLS: در صورت عدم نیاز عملیاتی، پروتکل DTLS را در سرورهای Gateway غیرفعال کنید.
- محدودیت UDP/443: ترافیک ورودی UDP/443 را در فایروال‌های لبه (Perimeter Firewall) محدود یا مسدود کنید.
- ایزولاسیون تجهیزات: در صورت شناسایی نشانه‌های نفوذ، تجهیزات را از شبکه جدا کرده و همگام‌سازی HA را متوقف کنید تا تغییرات مخرب به گره‌های دیگر منتقل نشود.
۳. شناسایی و شکار تهدید (Threat Hunting)
بررسی فایل /etc/httpd.conf برای یافتن دستورات AddHandler یا AliasMatch غیرعادی و بازرسی دایرکتوری‌های /var/netscaler/gui/vpn/scripts/linux/ برای یافتن فایل‌های متنی یا اسکریپت‌های PHP با پسوندهای جعلی، از ضروریات شناسایی نفوذ است. همچنین، وجود فایل‌های /tmp/.uxdport یا /tmp/.uxdlock نشانه قطعی اجرای بدافزار SLAPSHOT است.
به‌روزرسانی (سپتامبر 29, 2026 — The Register)
به‌روزرسانی: گزارش‌های تکمیلی نشان می‌دهد که حملات مربوط به آسیب‌پذیری‌های CVE-2026-88771 و CVE-2026-88772 از اوایل سپتامبر فعال بوده‌اند و سازمان‌های دولتی، مؤسسات مالی، مراکز آموزشی و بخش‌های حقوقی در آمریکای شمالی و اروپا را هدف قرار داده‌اند.
تحلیل‌های جدید حاکی از به‌کارگیری بدافزارهای سفارشی برای تثبیت دسترسی (Persistence) و ایجاد تونل در ترافیک شبکه است. این ابزارها شامل WHIPSHOT (یک وب‌شل PHP) و SLAPSHOT (یک ابزار TCP Tunneling نوشته شده با پایتون) هستند که به عامل تهدید اجازه می‌دهند دسترسی سطح Root را به دست آورده و عملیات شناسایی داخلی (Internal Reconnaissance) و سرقت اعتبارنامه‌ها (Credential Theft) را انجام دهند.
کارشناسان امنیتی هشدار می‌دهند که به دلیل ماهیت این حملات، سازمان‌ها باید پیش از اعمال پچ‌ها، سیستم‌های خود را برای یافتن آثار نفوذ (Indicators of Compromise) بررسی کنند؛ زیرا به‌روزرسانی به تنهایی ممکن است باعث حذف عامل تهدید از محیط شبکه نشود.
