Zero-Day in Citrix NetScaler ausgenutzt, um Root-Zugriff zu erlangen

Mandiant und die Google Threat Intelligence Group haben die aktive Ausnutzung von CVE-2026-88772 dokumentiert, einer Prä-Authentifizierungs-Schwachstelle mit einem CVSS-Wert von 9,5 in Citrix NetScaler ADC- und Gateway-Geräten. Die Schwachstelle betrifft die Verarbeitung des DTLS-Protokolls und ermöglicht es, während des ersten Handshakes Speicher zu beschädigen, noch bevor sich der Benutzer authentifizieren muss. Dies ebnet den Weg für die Ausführung von Code und den Root-Zugriff. Die Angreifer haben maßgeschneiderte Web-Shells namens WHIPSHOT und SLAPSHOT gegen Dutzende Regierungs-, Finanz-, Technologie-, Bildungs- und Rechtsorganisationen in Nordamerika und Europa eingesetzt. Die Aktivitäten reichen mindestens bis in die ersten Septembertage zurück und werden zunächst fortgeschrittenen, wahrscheinlich staatlich unterstützten Akteuren zugeschrieben; Citrix meldete außerdem die parallele Ausnutzung von CVE-2026-88771. Organisationen müssen die Appliances unverzüglich aktualisieren, nach den beschriebenen Tools suchen und davon ausgehen, dass anfällige, mit dem Internet verbundene Systeme kompromittiert wurden, insbesondere wenn DTLS aktiviert war.

Quelle: Help Net Security