Hackers exploit Citrix NetScaler zero-day to deploy web shells

Menace persistante sur Citrix NetScaler : Exploitation des failles “PitScaler”

Des attaquants exploitent activement deux vulnérabilités zero-day dans les solutions Citrix NetScaler (ADC et Gateway) pour obtenir un accès root, installer des webshells personnalisés et infiltrer les réseaux internes. Ces attaques, observées depuis début septembre, touchent divers secteurs critiques en Amérique du Nord et en Europe.

Points clés :

• Méthodologie d’attaque : Les assaillants utilisent des webshells PHP dissimulés (fichiers .deb, .sig, ou .css détournés) pour exécuter des commandes.
• Malwares déployés :
  • WHIPSHOT : Un webshell faisant office de proxy HTTP.
  • SLAPSHOT : Un outil de tunneling TCP en Python permettant des mouvements latéraux et le vol de données.
• Persistance : Les attaquants modifient les permissions du fichier /bin/sh (ajout du bit setuid) pour maintenir un accès privilégié au niveau root.

Vulnérabilités identifiées :

• CVE-2026-88771 : Exécution de code à distance (RCE) sans authentification, affectant tous les déploiements ADC et Gateway.
• CVE-2026-88772 : Dépassement de mémoire (via DTLS) permettant une RCE ou un déni de service.

Recommandations :

• Priorité absolue : Appliquer immédiatement les dernières mises à jour de sécurité fournies par Citrix.
• Recherche de compromission (Hunting) :
  • Inspecter le fichier /etc/httpd.conf pour détecter des alias ou handlers PHP suspects.
  • Vérifier les permissions du fichier /bin/sh.
  • Rechercher des fichiers suspects (.deb, .sig) dans les répertoires système et des processus Python anormaux.
  • Surveiller les plantages inattendus du processus NSPPE.
• Atténuation temporaire (si le patch est impossible) : Désactiver le protocole DTLS et bloquer le port UDP/443 en amont (attention : cela ne protège que contre la CVE-2026-88772).

Source