2026-10-16 05:24:25 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Google披露Citrix 0Day攻击，黑客植入Web Shell攻入企业内网

FreeBuf

2026年10月1日 18:00
河南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Part01

两个Citrix 0Day遭活跃利用

Google发布警告称，Citrix NetScaler近期遭到两个高危0Day漏洞的活跃利用。攻击者可借此绕过认证、获取root权限，并植入隐蔽Web Shell，进一步向受害企业内网渗透。

目前攻击已波及北美、欧洲地区的多个机构，覆盖政府、金融服务、科技、教育、法律及专业服务行业。Mandiant咨询团队与谷歌威胁情报小组（GTIG）表示，相关攻击活动最早可追溯至2026年9月初。

攻击者利用的漏洞共有两个。其一是CVE-2026-88772，存在于Citrix NetScaler ADC与NetScaler Gateway设备中，属于高危内存溢出漏洞；其二是CVE-2026-88771，由输入验证不当引发，可被未授权攻击者利用实现远程代码执行。

Citrix将两个漏洞的CVSS评分均定为9.5，且已确认存在活跃利用。其中，CVE-2026-88772影响开启了数据报传输层安全（DTLS）的设备，VPN虚拟服务器默认启用该配置。

利用成功后，攻击者可以绕过身份验证，使NetScaler数据包处理引擎（NSPPE）触发未处理异常并终止运行，随后获得底层FreeBSD系统的root权限。攻陷设备后，攻击者还会修改Web服务器配置文件httpd.conf，使原本并非PHP格式的文件也能被当作PHP脚本执行。

Part02

攻击链植入专属恶意工具

在已观测到的入侵活动中，攻击者将.deb安装包文件、.sig签名文件配置为可执行PHP脚本，还配置了图标别名规则：用户看似访问无害的.ico文件，实际请求会触发隐藏的Web Shell。

攻击过程中还出现了一款新发现的PHP Web Shell，名为WHIPSHOT。该恶意程序将Base64编码的C2数据隐藏在看似合法的HTTP头字段中，让恶意流量混入正常Web请求，规避检测。

WHIPSHOT可以转发攻击者指令与执行结果，同时返回伪造的HTTP 404 Not Found响应，很容易误导排查Web日志的管理员。

另一款被发现的工具名为SLAPSHOT，是一个Python隧道程序。该工具监听本地回环端口，将已攻陷NetScaler设备上的任意TCP流量代理转发至内网。攻击者可借此开展内网侦察、连接内部主机，窃取凭证后即可实现横向移动。在一起入侵事件中，攻击者就曾利用该代理手动开展内网侦察、窃取凭证。

为了长期保留root级访问权限，攻击者还会为/bin/sh设置setuid权限位。配置完成后，即使指令来自低权限的Web服务器进程，系统Shell也会以root高权限执行。在部分入侵案例中，攻击者还会重启设备或Apache服务，让恶意配置生效。

Part03

官方已推送修复版本

安全团队需尽快为受影响的NetScaler系统安装补丁。Citrix已公布修复版本，包括NetScaler 14.1-73.37及后续版本、NetScaler 13.1-64.23及后续版本，对应的FIPS合规修复版本也已同步推出。

入侵排查可以重点围绕三个方向展开。首先检查/etc/httpd.conf中是否存在可疑的AddHandler、AliasMatch、PHP指令；其次扫描VPN脚本目录，查找隐藏在.deb、.sig文件中的PHP代码；最后检查是否存在/tmp/.uxdport或/tmp/.uxdlock文件，这类文件是SLAPSHOT运行的典型痕迹。

如果设备出现/bin/sh被设置setuid权限、非预期NSPPE崩溃、DTLS握手失败、/vpn/media/或/vpn/scripts/路径收到异常请求等情况，需立即判定为高优先级入侵指标。

GreyNoise观测显示，早在Citrix公开披露这些漏洞前，互联网上就已出现利用尝试，9月24日还监测到来自IP地址149.104.78.141的攻击活动。这一发现再次凸显了联网边缘设备的长期风险：这类设备通常缺乏端点检测能力覆盖，却拥有敏感内网环境的直接访问权限。