攻击者大规模滥用两个关键的Citrix漏洞，安全研究人员报告称。美国网络安全机构CISA已指示联邦政府机构对其自身的Citrix系统进行取证调查，但攻击者似乎采取了各种反取证措施并删除了他们的痕迹。
Citrix于9月27日发布了针对NetScaler ADC和NetScaler Gateway中多个漏洞的安全更新，其中包括两个安全漏洞（CVE-2026-88771和CVE-2026-88772），攻击者已经开始积极利用这些漏洞。通过这两个漏洞，未经身份验证的攻击者可以远程接管易受攻击的Citrix系统。Citrix NetScaler ADC是一种服务器，组织将其放置在服务器与互联网之间。其主要功能是将传入流量分配到可用服务器上，以确保网站和应用程序快速且良好地可访问。
通过Citrix NetScaler Gateway，公司的员工可以远程访问企业应用程序、企业环境和内部网。因此，它在远程办公中被广泛使用。被攻陷的Citrix NetScaler系统的影响可能非常大。CVE-2026-88771和CVE-2026-88772的滥用已经持续了数周。通过这些安全漏洞，攻击者安装了一个webshell，以保持对被攻陷的Citrix系统的访问并进行进一步攻击，CERT Europe和网络安全公司Greynoise报告称。
目前，已经发生了大规模攻击。“Citrix Netscaler CVE-2026-88771现在正在被大规模滥用，”网络安全公司Defused的Simo Kohonen表示。英国安全研究员Kevin Beaumont也报告了大规模滥用。美国国土安全部的网络安全和基础设施安全局（CISA）可以要求美国政府机构在特定时间内安装针对正在被攻击的漏洞的安全更新。
在Citrix漏洞的情况下，政府机构也被要求对其Citrix系统进行取证调查，以检查是否已经被黑客入侵。为此，引用了Citrix自身的一个脚本。Beaumont指出，这个脚本可以找到已知的webshell，但攻击者使用的webshell对每个Citrix系统都是独特的。此外，攻击者还执行反取证命令并设置crontab作业以删除他们的痕迹。