أصبحت القصة حول ثغرات Citrix NetScaler zero-days أكثر وضوحًا بكثير خلال الأيام القليلة الماضية.
في البداية، كنا نعلم أن CVE-2026-88771 و CVE-2026-88772 يتم استغلالهما في البرية. الآن، تعطي الأبحاث من GreyNoise و watchTowr و Mandiant فهمًا أفضل لما يفعله المهاجمون فعليًا بعد وصولهم إلى جهاز ضعيف. وهنا تصبح الحادثة أكثر إثارة للاهتمام.
لا يتعلق الأمر ببساطة باستغلال ثغرة والحصول على شل. لقد استخدم المهاجمون أجهزة NetScaler المخترقة لإنشاء استمرارية، ونشر شل ويب، وإنشاء مسار إلى الشبكة الداخلية.
CVE-2026-88771: مسار حقن الأوامر
CVE-2026-88771 هو الأكثر وضوحًا من منظور المهاجم. وجدت تحليل watchTowr أن المدخلات التي يتحكم فيها المهاجم يمكن أن تصل في النهاية إلى آليات تسجيل NetScaler ومعالجة الأخطاء وتُفسر كجزء من أمر شل.
بعبارات بسيطة، يقوم المهاجم بإرسال طلب مُعد خصيصًا إلى NetScaler المكشوف. يتم تسجيل الطلب. ثم تتم معالجة تلك المعلومات بواسطة مكون ضعيف. نظرًا لأن المدخلات لا تتم معالجتها بأمان، يمكن تحويل جزء من البيانات التي يتحكم فيها المهاجم إلى أمر. ويعمل هذا الأمر بامتيازات مستوى الجذر على الجهاز. الجزء المهم هنا هو أنه لا يتطلب مصادقة. وهذا يجعل NetScaler المتصل بالإنترنت جذابًا بشكل خاص. لا يحتاج المهاجم أولاً إلى سرقة حساب VPN أو كلمة مرور المسؤول للبدء.
CVE-2026-88772: مسار مختلف إلى نفس الوجهة
CVE-2026-88772 يأخذ مسارًا مختلفًا تمامًا. هذه الثغرة موجودة في كود معالجة DTLS وتتضمن تجاوزًا للذاكرة. يقوم المهاجم بإرسال حركة مرور DTLS مجزأة مُعدة خصيصًا. يقوم NetScaler بإعادة تجميع تلك الشظايا، لكن الكود الضعيف لا يأخذ في الاعتبار بشكل صحيح مقدار البيانات التي يتم نسخها إلى ذاكرته الداخلية.
النتيجة هي فساد في الذاكرة يمكن أن يتحول إلى تنفيذ كود. السبب الذي يجعل هذا يستحق اهتمامًا خاصًا هو أن DTLS مفعل بشكل افتراضي لخوادم VPN الافتراضية. لذا، بالنسبة للعديد من نشرات NetScaler Gateway، الشرط المطلوب موجود بالفعل.
الثغرتان مختلفتان تقنيًا، لكن النتيجة التي يبحث عنها المهاجمون مشابهة: الحصول على تنفيذ كود على NetScaler والسيطرة على الجهاز.
ماذا يحدث بعد أن يدخل المهاجم؟
هذه ربما تكون أهم تطور من الأبحاث الأخيرة. لاحظت GreyNoise محاولة مهاجم تعديل /bin/sh بحيث يمكنه توفير شل جذر ثم تثبيت شل ويب محمي بكلمة مرور. تم وضع شل الويب تحت: /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver.
كما حددت GreyNoise receiver.min.css كاسم مستعار مرتبط بشل الويب. يبدو أن التقنية مصممة لجعل النشاط الخبيث يبدو كطلب عادي لمورد ويب. هذا مستوى مختلف تمامًا من النشاط عن مجرد اختبار ما إذا كانت الثغرة تعمل.
يحاول المهاجم البقاء على الجهاز.
رأت GreyNoise هذا قبل أن تصبح الثغرة عامة. هذه جزء آخر مثير للاهتمام من القصة. لاحظت GreyNoise نشاط استغلال في 24 سبتمبر، عدة أيام قبل أن يتم الكشف عن الثغرات علنًا. تم ملاحظة عنوان IP واحد، 149.104.78.141، وهو يحاول الاستغلال ضد NetScaler Gateway. في ذلك الوقت، لم يكن لدى GreyNoise بعد كشف محدد لـ CVE لأن الثغرة لم يتم الكشف عنها علنًا.
ومع ذلك، حددت اكتشافاتها السلوكية النشاط كخبيث. بمجرد أن أصبحت CVE-2026-88771 عامة، تمكنت GreyNoise من ربط النشاط retroactively بالثغرة. هذه مثال جيد على سبب أهمية الكشف السلوكي خلال يوم الصفر. قد لا يكون لديك توقيع لثغرة لم يتم تسميتها علنًا بعد، لكن يمكنك لا تزال اكتشاف السلوك المحيط بالاستغلال.
وجدت Mandiant أن النشاط يتجاوز ذلك
تضيف تحقيقات Mandiant طبقة أخرى للقصة. حدد الباحثون قطعتين من البرمجيات الخبيثة غير الموثقة سابقًا المرتبطة بالهجمات: WHIPSHOT و SLAPSHOT.
WHIPSHOT هو شل ويب مبني على PHP يوفر وصولاً دائمًا إلى الجهاز المخترق. SLAPSHOT هو أداة نفق مبنية على Python. معًا، تعطي المهاجم شيئًا أكثر قيمة بكثير من الوصول إلى NetScaler نفسه.
إنها توفر طريقة للتحرك من الجهاز الخارجي نحو البيئة الداخلية. لاحظت Mandiant نشاطًا يتضمن الاستطلاع الداخلي، وسرقة بيانات الاعتماد، والحركة الجانبية. لقد أثرت الهجمات على منظمات عبر قطاعات بما في ذلك الحكومة والمالية والخدمات المهنية.
لذا، بدأت سلسلة الهجمات تبدو كالتالي:
NetScaler المتصل بالإنترنت
↓
استغلال يوم الصفر
↓
الوصول بمستوى الجذر
↓
الاستمرارية / شل الويب
↓
النفق
↓
الاستطلاع الداخلي
↓
الوصول إلى بيانات الاعتماد والحركة الجانبية
هذا هو الجزء الذي يجب أن تفكر فيه فرق الأمان الآن.
صورة IOC تتحسن أيضًا
لدينا الآن بعض المؤشرات الملموسة من الأبحاث.
أبلغت GreyNoise عن:
149.104.78.141 — مصدر الاستغلال الملحوظ
/var/netscaler/logon/LogonPoint/custom/.ctxs.receiver — مسار شل الويب المحدد
receiver.min.css — اسم مستعار مرتبط بشل الويب
SHA-256 hash لشيل الويب المحدد
يجب التعامل مع هذه كملاحظات بحث معروفة، وليس كقائمة IOC شاملة. تشير GreyNoise نفسها إلى أن النشاط الملحوظ يمثل فقط ما رأته أجهزة الاستشعار الخاصة بها.
تلك التمييز مهم.
يجب على المنظمة التي لا ترى هذه المؤشرات الدقيقة ألا تستنتج تلقائيًا أن NetScaler الخاص بها نظيف.
ما أراه الأكثر أهمية هنا
التفاصيل الفنية للثغرتين مثيرة للاهتمام، لكن القصة الأكبر هي ما حدث بعد الاستغلال.
NetScaler يقع على الحافة.
إنه يتعامل مع وصول VPN، والمصادقة، وإدارة الحركة.