2026年9月下旬，Mandiant Consulting与Google威胁情报组（GTIG）发现Citrix NetScaler ADC和NetScaler Gateway设备存在正在被利用的零日漏洞CVE-2026-88772，并确认该漏洞自9月初起已被用于攻击。北美和欧洲的政府、金融服务、教育、法律及专业服务行业组织可能已受影响。供应商披露显示，攻击者还活跃利用了第二个零日漏洞CVE-2026-88771。

CVE-2026-88772的利用过程发生在预认证加密握手阶段：NSPPE（NetScaler包处理引擎）解析入站DTLS记录时，特制的畸形或分片记录头会触发堆内存边界破坏，从而控制流执行任意shellcode，获得FreeBSD底层系统的root权限。成功的利用尝试会留下两类日志：syslog中的SSL握手失败记录（包含DTLSv1.0和”Handshake failure-Internal Error”特征），以及/var/log/messages中记录的NSPPE进程终止和pitboss看门狗未重启的消息。

攻击者植入的web shell通过两种持久化方法隐藏自身：一是修改/etc/httpd.conf将.deb文件作为PHP脚本处理，二是通过AliasMatch将/vpn/media/下的.ico请求映射到脚本目录中的.sig文件，使客户端请求图标时实际执行PHP代码。为获取持久的root执行权限，攻击者使用chmod u+s /bin/sh设置setuid位，并通过重启Apache或整个设备使配置生效。

恶意工具集中包含两个核心组件：WHIPSHOT是一个伪装成Debian包的PHP web shell，它从HTTP_X_UX_0到HTTP_X_UX_95等请求头中提取Base64编码的数据，解码后通过回环连接转发给SLAPSHOT；SLAPSHOT是一个用Python编写的TCP隧道工具，它绑定到127.0.0.1的临时端口，将端口号写入/tmp/.uxdport并使用文件锁确保单实例运行。SLAPSHOT支持open、push、pull、exch、close、ping等命令，空闲会话在15分钟后关闭，10分钟无活动则自动退出。

该活动凸显了边缘设备作为初始访问入口的持续威胁。这些设备暴露在互联网上，不受EDR保护，且常存储凭据，攻击者可借此深入内网。Mandiant提供了详细的 hunt 指引，包括检查/etc/httpd.conf中的异常配置、审计客户端插件目录中的伪装脚本、审查web访问日志中的异常404和大响应、检查/tmp/.uxdport和/tmp/.uxdlock文件、验证/bin/sh的SUID权限、以及检查异常的Python进程和shell历史。

补救措施需分阶段进行：优先应用Citrix修复版本（NetScaler 14.1-73.37或13.1-64.23及更高版本），如无法立即修补，可禁用DTLS或限制入站UDP/443流量。对已确认或疑似受损的设备，应立即隔离并停止HA同步，防止恶意配置复制到备用节点。所有存储在受影响设备上的凭据都应轮换，包括管理员账户、SSH密钥、TLS证书、LDAP绑定账户和RADIUS共享密钥。检测需确保SIEM接收ns.log、/var/log/messages、web服务器日志和防火墙流日志等遥测，并实施针对DTLS握手失败、NSPPE终止、配置更改和异常出站连接的告警规则。文章还提供了多个YARA规则和IOC（包括IP地址143.198.7.94和157.254.167.12）。