‏دو آسیب‌پذیری NetScaler که الان دارن فعالانه اکسپلویت می‌شن

Citrix توی بولتن CTX697096 (۲۷ سپتامبر ۲۰۲۶) هشت آسیب‌پذیری NetScaler ADC و Gateway رو پچ کرده. دوتاشون، CVE-2026-88771 و CVE-2026-88772، الان توی دنیای واقعی اکسپلویت می‌شن و CISA هم اونا رو به فهرست KEV (یعنی آسیب‌پذیری‌هایی که حملهٔ واقعی روشون دیده شده) اضافه کرده. این گزارش از تیم Sygnia روی همین دوتا تمرکز داره.

CVE-2026-88771 یه command injection بدون نیاز به لاگینه و روی همهٔ نسخه‌های customer-managed با تنظیمات پیش‌فرض اثر داره. روشش log poisoning هست، یعنی حمله‌کننده داده‌ای می‌فرسته که عیناً توی لاگ نوشته می‌شه. این داده شبیه پیام خرابی Packet Processing Engine ساخته می‌شه، با عبارت‌هایی مثل pitboss، NSPPE، «unexpectedly died» یا «missed too many heartbeats». بعداً اسکریپت نگهداری /netscaler/ns_monuploadd_err.pl اون خط رو با یه عملیات shell ناامن پردازش می‌کنه و دستور جاسازی‌شده با دسترسی root اجرا می‌شه.

نکتهٔ مهم اینه که اجرا ممکنه با تأخیر باشه، پس باید درخواست مشکوک رو تا ۲۴ ساعت بعدش با فعالیت سیستم مقایسه کرد. جواب 404 هم به این معنی نیست که خطری نبوده، چون کافیه درخواست توی لاگ HTTP نوشته بشه. CVE-2026-88772 هم یه memory overflow هست که وقتی DTLS فعاله می‌تونه به اجرای کد یا از کار افتادن سرویس برسه.

Sygnia چند نوع حمله دیده: یکی پیلود Base64 رو از توی لاگ‌های HTTP بیرون می‌کشه و اجرا می‌کنه. یکی دیگه با درخواست‌هایی شبیه فایل CSS یه web shell مخفی PHP به اسم .ctxs.receiver می‌سازه، فایل /etc/httpd.conf رو عوض می‌کنه تا آدرس‌های CSS‌مانند به shell برسن و دسترسی /bin/sh رو روی mode 6555 (یعنی setuid) می‌ذاره. ۲۹ سپتامبر هم یه الگوی جدید با «unexpectedly died» دیدن که برای لو دادن تنظیمات و اجرای پیلود از راه دور بود.

به گفتهٔ Sygnia، NetScaler روی مرز شبکه با اعتماد بالا نشسته و به سیستم‌های احراز هویت، مجازی‌سازی و بکاپ وصله. یعنی نفوذ بهش راه مستقیم به زیرساخت داخلیه. حتی یه مورد دیدن که قبل از انتشار پچ، حمله‌کننده از NetScaler به vCenter و سیستم‌های identity رسیده بود. پس پچ لازمه ولی کافی نیست: web shell، تنظیمات دستکاری‌شده یا رمزهای دزدیده‌شده با آپدیت پاک نمی‌شن.

توصیه‌های ۲۴ ساعت اول: همهٔ نودها (active، standby، DR، FIPS) پچ بشن، قبل از ری‌استارت شواهد حفظ بشه، اسکن IoC خود Citrix اجرا بشه، دست‌کم ۳۰ روز لاگ بررسی بشه و دسترسی اینترنتی به مدیریت بسته بشه. اگه web shell پیدا شد، همهٔ سشن‌ها باید باطل بشن. توی ۷۲ ساعت هم رمزها و گواهی‌ها عوض بشن و اگه اجرای دستور رو نمی‌شه رد کرد، دستگاه از یه image تمیز دوباره ساخته بشه. قبل از ارتقا به 13.1-64.23 هم باید show ns variable رو اجرا کرد و اگه متغیری برگشت، سراغ 13.1-64.24 رفت.

نکات کلیدی:

• CVE-2026-88771 بدون لاگین و روی تنظیمات پیش‌فرض، اجرای دستور با root می‌ده
• CVE-2026-88772 وقتی DTLS فعاله به اجرای کد یا DoS می‌رسه
• اجرا ممکنه تا ۲۴ ساعت بعد از درخواست اتفاق بیفته و 404 نشونهٔ امنیت نیست
• دنبال web shell مخفی .ctxs.receiver، تغییر handlerها توی httpd.conf و /bin/sh با mode 6555 بگردید
• پچ نفوذ قبلی رو پاک نمی‌کنه، اگه شک دارید از image تمیز دوباره بسازید