Уязвимость нулевого дня CVE-2026-88771 в Citrix NetScaler эксплуатируется через C2 Platypus, открыто 50 277 устройств
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Злоумышленники эксплуатируют уязвимость удалённого выполнения кода до аутентификации в устройствах Citrix NetScaler ADC и Gateway, отслеживаемую как CVE-2026-88771, используя общедоступный фреймворк управления Platypus. Эксплуатация подтверждена с 21 сентября 2026 года, по всему миру выявлено 50 277 уязвимых устройств. Уязвимость получила оценку CVSS 9,5 и 27 сентября 2026 года была внесена в каталог известных эксплуатируемых уязвимостей CISA.
Ключевые факты
- CVE-2026-88771 — уязвимость удалённого выполнения кода до аутентификации в устройствах Citrix NetScaler ADC и Gateway с оценкой CVSS 9,5.
- 27 сентября 2026 года уязвимость внесена в каталог известных эксплуатируемых уязвимостей CISA.
- Palo Alto Networks Cortex Xpanse выявил 50 277 открытых устройств NetScaler по всему миру.
- Эксплуатация подтверждена с 21 сентября 2026 года, в том числе в США.
- Citrix выпустила исправления в версиях 14.1-73.37 и 13.1-64.23.
Цепочка эксплуатации
Атака начинается с трёхэтапного процесса внедрения команд, задокументированного исследователями Unit 42. На первом этапе используется дроппер в кодировке Base64, скрытый в заголовке User-Agent. Полезная нагрузка взаимодействует с отравленными записями журнала, запуская Perl-скрипт. Процесс полностью обходит аутентификацию, предоставляя доступ до проверки соединения устройством.
Фреймворк Platypus
Platypus — общедоступный фреймворк управления, написанный на Go и используемый в этих атаках. Он использует взаимный TLS для шифрованной связи и mDNS для обнаружения узлов в сети. Фреймворк превращает устройство из средства защиты в плацдарм для дальнейшего проникновения. Закрепление обеспечивается PHP-веб-шеллами, замаскированными под CSS-файлы, с изменением конфигурации Apache для переживания перезагрузок. Команда TENEX наблюдала эту тактику против виртуальных серверов аутентификации SAML в конце сентября 2026 года.
Реагирование и меры
CISA внесла CVE-2026-88771 в каталог известных эксплуатируемых уязвимостей 27 сентября 2026 года, обязав федеральные агентства принять меры. Администраторам рекомендуется установить исправления из версий Citrix NetScaler 14.1-73.37 и 13.1-64.23. Скорость появления эксплойтов указывает на минимальный разрыв между раскрытием уязвимости и началом активной эксплуатации.
1 источник
Время · отставание