关于Citrix NetScaler零日漏洞的故事在过去几天变得更加清晰。威胁情报平台最初，我们知道CVE-2026-88771和CVE-2026-88772在野外被利用。现在，GreyNoise、watchTowr和Mandiant的研究为我们提供了攻击者在达到易受攻击的设备后实际所做事情的更好理解。而这就是事件变得更加有趣的地方。这不仅仅是利用一个漏洞并获得一个shell。攻击者一直在利用被攻陷的NetScaler设备来建立持久性、部署web shell并创建进入内部网络的路径。
CVE-2026-88771：命令注入路径
从攻击者的角度来看，CVE-2026-88771是两个漏洞中更直接的一个。Vulnerability Assessment Service watchTowr的分析发现，攻击者控制的输入最终可以到达NetScaler的日志记录和错误处理机制，并被解释为shell命令的一部分。简单来说，攻击者向暴露的NetScaler发送一个特别构造的请求。该请求被记录。然后，这些信息被一个易受攻击的组件处理。由于输入没有安全处理，攻击者控制的数据的一部分可以被转化为命令。而该命令以root级别的权限在设备上运行。这里重要的是不需要身份验证。这使得面向互联网的NetScaler特别具有吸引力。攻击者不必首先窃取VPN账户或管理员密码就可以开始。
CVE-2026-88772：通往同一目标的不同路径
CVE-2026-88772采取了完全不同的路径。这个漏洞位于DTLS处理代码中，涉及内存溢出。攻击者发送特别构造的分段DTLS流量。NetScaler重新组装这些片段，但易受攻击的代码没有正确计算复制到其内部缓冲区的数据量。结果是内存损坏，可能被转化为代码执行。这个漏洞特别值得关注的原因是DTLS在VPN虚拟服务器中默认启用。因此，对于许多NetScaler Gateway部署，所需条件已经存在。这两个漏洞在技术上是不同的，但攻击者所寻求的结果是相似的：在NetScaler上获得代码执行并控制设备。
攻击者进入后会发生什么？
这是最新研究中可能最重要的发展。GreyNoise观察到攻击者试图修改/bin/sh，以便提供一个root shell，然后安装一个受密码保护的web shell。web shell被放置在：/var/netscaler/logon/LogonPoint/custom/.ctxs.receiver。GreyNoise还识别出receiver.min.css作为与web shell相关的别名。该技术似乎旨在使恶意活动看起来像是对web资源的正常请求。这与简单测试漏洞是否有效的活动水平截然不同。
Vulnerability Assessment Service
攻击者试图保持在设备上。GreyNoise在漏洞公开之前就观察到了这一点。这是故事的另一个有趣部分。GreyNoise在9月24日观察到利用活动，几天前漏洞被公开披露。一个源IP，149.104.78.141，被观察到试图对NetScaler Gateway进行利用。当时，GreyNoise尚未拥有特定于CVE的检测，因为漏洞尚未公开披露。威胁情报平台尽管如此，其行为检测仍然将该活动识别为恶意。一旦CVE-2026-88771公开，GreyNoise能够追溯性地将该活动与漏洞关联。这是一个很好的例子，说明为什么行为检测在零日漏洞期间很重要。您可能没有针对尚未公开命名的漏洞的签名，但您仍然可以检测到与利用相关的行为。
Mandiant发现活动进一步发展
Mandiant的调查为故事增加了另一层。研究人员识别出与攻击相关的两个先前未记录的恶意软件：WHIPSHOT和SLAPSHOT。WHIPSHOT是一个基于PHP的web shell，提供对被攻陷设备的持久访问。SLAPSHOT是一个基于Python的隧道工具。它们结合在一起，给予攻击者比仅仅访问NetScaler本身更有价值的东西。它们提供了一种从边缘设备向内部环境移动的方式。Mandiant观察到涉及内部侦察、凭证盗窃和横向移动的活动。这些攻击影响了包括政府、金融和专业服务在内的多个行业。因此，攻击链开始看起来像这样：
面向互联网的NetScaler
↓
零日利用
↓
root级别访问
↓
持久性/web shell
↓
隧道
↓
内部侦察
↓
凭证访问和横向移动
这是安全团队现在应该考虑的部分。
应用安全审计
IOC图景也在改善
我们现在有了一些来自研究的具体指标。GreyNoise报告：
149.104.78.141 — 观察到的利用源
/var/netscaler/logon/LogonPoint/custom/.ctxs.receiver — 识别的web shell路径
receiver.min.css — 关联的web shell别名
一个识别的web shell的SHA-256哈希
这些应被视为已知研究观察，而不是详尽的IOC列表。GreyNoise本身指出，观察到的活动仅代表其传感器所看到的内容。威胁情报平台这个区别很重要。一个没有看到这些确切指标的组织不应自动得出其NetScaler是干净的结论。
我认为这里最重要的是
这两个漏洞的技术细节很有趣，但更大的故事是利用后发生了什么。NetScaler位于边缘。Vulnerability Assessment Service 它处理VPN访问、身份验证、流量管理和应用程序。