Citrix NetScalerのゼロデイ脆弱性、ウェブシェルとトンネリング型マルウェアの設置に悪用か

侵害機器から内部機器へ通信を中継

記事によると、攻撃者はCitrix NetScalerの脆弱性CVE-2026-88771およびCVE-2026-88772を悪用した。
MandiantはCVE-2026-88772に関連する活動で、PHPで作られたウェブシェル（遠隔からコマンドを実行する不正な仕組み）と、これまで文書化されていなかったWHIPSHOT、SLAPSHOTの2種のマルウェアを確認したとしている。

SLAPSHOTは侵害された機器と内部機器の間で通信を中継でき、観測された活動には偵察と認証情報の窃取が含まれるという。
Citrixは、対策されていない導入環境で両方の脆弱性が悪用されたと確認したと記事は伝えている。

記事は、少なくとも9月上旬に活動が始まり、Citrixによる脆弱性の公表前の9月24日に悪用の試行が1件観測されたとしている。
一方、侵害の発生率や範囲を比較できる過去の基準は示されていない。

新たに伝えられた運用上の詳細は、Citrix NetScalerの脆弱性の悪用で、隠蔽されたウェブシェルとトンネリング型マルウェアが設置され、root権限でのアクセスや内部システムへの侵入拡大に使われたという点だ。

2件の脆弱性で緩和策の範囲が違う

伝えられた活動は、インターネットに公開された機器の悪用にとどまらない。
ウェブシェルとトンネリングツールは、攻撃者のアクセスを隠しつつ内部機器へ到達するために使われたとされる。
また記事は、CVE-2026-88772向けの緩和策では、別途悪用されたCVE-2026-88771を防げないと指摘している。