【 資安警訊 】- Citrix NetScaler ADC 漏洞遭串連利用，攻擊者取得 root 權限並滲透企業內部網路
發布編號：OIS-CTI-2026-10-003
情資來源：iThome
事件類型：攻擊活動警訊公告
內容說明：
資安公司 Rapid7 揭露一起 Citrix NetScaler ADC 入侵事件，攻擊者串連利用 CVE-2026-88771 與 CVE-2026-88779 取得 root 權限，並植入 PHP 網頁 Shell、建立持續性存取機制及內部網路通道。
Citrix 於 9 月底至 10 月初為 NetScaler 修補一系列資安漏洞，其中 CVE-2026-88771、CVE-2026-88772 與 CVE-2026-88779 已被用於實際攻擊。資安公司 Rapid7 於 10 月初調查一起 NetScaler ADC 入侵事故，發現駭客將部分漏洞串連，藉由讓特定服務反覆當機的方式成功入侵受害組織。
Rapid7 指出，攻擊者在未通過身分驗證的情況下，先利用可造成事件記錄中毒的遠端程式碼執行（RCE）漏洞 CVE-2026-88771，藉由身分驗證相關請求注入惡意內容；再利用 CVE-2026-88779 讓 SAML 服務反覆當機，觸發 NetScaler 重新啟動，並利用設備重開機後的錯誤處理程序執行先前注入的命令，最終取得 root 權限。攻擊者甚至在數日內重複利用這套機制，於設備重新啟動後再次執行惡意程式。
取得控制權後，攻擊者在 NetScaler 的 LogonPoint 網頁資料夾植入多個 PHP 網頁 Shell，並竄改 Apache 設定，讓看似 CSS 樣式表的網址實際對應到惡意程式，以降低異常流量被察覺的機會；同時將 /bin/sh 的權限修改為 6555，利用 Setuid 與 Setgid 機制，讓原本以較低權限執行的網頁處理程序有機會取得有效 root 權限。為建立長期存取管道，攻擊者還部署 Cron 排程、開機執行指令碼、監控程序與對外連線的遠端控制代理程式，並建立 HTTP 與 TCP 通道，使遭入侵的 NetScaler 成為連接內部網路的跳板。攻擊工具具備高可用性（HA）功能，可嘗試將惡意檔案同步至另一臺設備，並在必要時強制切換主備節點，以延續入侵狀態。
在內部偵察方面，攻擊者部署以 Go 語言編寫的工具，探查內部路由、DNS、LDAP 與 AD 服務、管理介面及 VMware vCenter 系統，並將掃描結果傳送至外部基礎設施；也蒐集並外傳 NetScaler 組態檔案、歷史組態、HTTP 設定、系統備份與診斷資料。這些資料可能包含 LDAP 及 RADIUS 驗證資訊、管理設定、SSL 私密金鑰與金鑰加密相關資料，增加後續憑證濫用及內部網路遭進一步入侵的風險。
Rapid7 比對多項系統日誌與檔案時間戳記後，確認這不是單純的漏洞利用嘗試，而是已成功執行惡意程式、部署後門並進行資料蒐集的入侵事件。Rapid7 表示這起活動與 Google 揭露的惡意程式 WhipShot 和 SlapShot 活動有所交集，但他們發現更多攻擊者運作細節，例如透過當機工作流程導致 NetScaler 反覆重開機、建立高可用性的持續存取管道、採用 Go 語言打造偵察工具，以及可在 FreeBSD 運作的代理伺服器代理程式。
影響平台：
受影響的產品包括 Citrix 旗下
● NetScaler ADC（尚未套用 9 月底至 10 月初所發布安全更新者，涉及 CVE-2026-88771、CVE-2026-88772、CVE-2026-88779）
● 與遭入侵 NetScaler 相連的內部系統（DNS、LDAP／AD、VMware vCenter 及相關管理服務，可能因憑證與組態外洩而遭波及）
建議措施：
請儘速將 NetScaler 更新至 Citrix 已發布的修補版本，涵蓋 CVE-2026-88771、CVE-2026-88772 與 CVE-2026-88779，具體版本請依 Citrix 原廠公告確認。已暴露於網際網路或曾出現不明重新啟動的設備，建議立即清查是否遭入侵：檢視 LogonPoint 網頁資料夾是否出現不明的 PHP 網頁 Shell、Apache 設定是否遭竄改、/bin/sh 權限是否被改為 6555，並檢查 Cron 排程、開機執行指令碼、非預期的對外連線與 HA 備援節點。若確認或懷疑遭入侵，應視 NetScaler 組態資料已外洩，更換 LDAP、RADIUS 等驗證帳密及 SSL 私密金鑰，並檢視內部 DNS、LDAP／AD 與 VMware vCenter 等系統是否出現異常存取。