-
13 oktober 2026 om 12:36 | person_outline 12
Kritieke kwetsbaarheden in Citrix NetScaler openen deuren voor geavanceerde cyberaanvallen
Onderzoekers van Binary Defense hebben een reeks geavanceerde cyberaanvallen ontdekt die gericht zijn op Citrix NetScaler ADC en Gateway appliances. Twee kritieke kwetsbaarheden, aangeduid als CVE-2026-88771 en CVE-2026-88772, worden actief uitgebuit door dreigingsactoren om een aangepaste versie van de Platypus remote access tool te implementeren. Beide kwetsbaarheden hebben een CVSS-score van 9.5, wat hun ernstige risico onderstreept.
CVE-2026-88771 betreft een kwetsbaarheid voor ongeldige inputvalidatie. Hiermee kunnen niet-geauthenticeerde aanvallers commando's uitvoeren op getroffen NetScaler appliances. Aanvallers konden shell commando's invoegen in speciaal opgestelde authenticatie-gerelateerde input, zoals gebruikersnamen. Dit is bijzonder zorgwekkend omdat de commando-uitvoering mogelijk niet direct zichtbaar is, wat het traceren van verdachte login-pogingen naar daaropvolgende kwaadaardige activiteiten bemoeilijkt.
De tweede kwetsbaarheid, CVE-2026-88772, is een DTLS memory overflow probleem dat specifiek NetScaler VPN virtuele servers treft wanneer DTLS is ingeschakeld. Een succesvolle uitbuiting van deze kwetsbaarheid kan leiden tot het uitvoeren van willekeurige code op het systeem of een denial-of-service conditie veroorzaken door de service te laten crashen. Beide kwetsbaarheden maken op afstand code-executie mogelijk zonder de noodzaak van een geldig gebruikersaccount.
Onderzoek naar incidenten bij een klant bracht aan het licht dat twee NetScaler-apparaten tekenen van uitbuiting vertoonden tijdens een upgradeproces. Eén apparaat toonde pogingen tot uitbuiting, terwijl het andere apparaat bewijs bevatte van de implementatie en waarschijnlijke uitvoering van Platypus, een op maat gemaakte remote management implant.
Platypus is oorspronkelijk een open-source remote administration framework geschreven in Go. De aanvallers hebben dit framework aangepast en gecompileerd voor FreeBSD, het besturingssysteem van NetScaler appliances. De aangepaste varianten van Platypus bevatten extra modules voor het escaleren van privileges, het handhaven van persistentie, het opschonen van sporen en het manipuleren van timestamps. De malware kon op afstand commando's uitvoeren via een terminal, bestanden lezen en schrijven, zichzelf updaten, plugins gebruiken en communiceren met een command-and-control server via wederzijdse TLS-encryptie. De malware beschikte tevens over een functie voor lokale peer-discovery, gebruikmakend van de mDNS-service `_platypus-mesh`, wat kon helpen bij het identificeren of koppelen van gecompromitteerde systemen binnen hetzelfde netwerk.
De malware werd vermomd als een Perl-gerelateerd bestand om minder op te vallen tussen de reguliere appliance bestanden. De installatiemethode maakte gebruik van een `curl` commando dat werd doorgestuurd naar de shell om de tool te downloaden en te starten. De payload werd opgeslagen in paden zoals `/var/tmp/`, `/netscaler.local/`, en `/var/core/`. Een specifiek voorbeeld betrof het bestand `.ns_09343.pl`, wat een ELF-binary bleek te zijn in plaats van een legitiem Perl-script.
Recente rapporten wijzen erop dat aanvallers de command-injection kwetsbaarheid gebruiken om web shells te installeren en configuratiegegevens van NetScaler te verzamelen.
De campagne werd gekoppeld aan het domein `entretiensol[.]com`, dat diende als staging- en controle server. Andere domeinen, waaronder `white-guard[.]pro`, `gurerasfalt[.]com`, `garyvard[.]com`, en `hickoryusedauto[.]com`, deelden infrastructuur of certificaatkenmerken met de operatie.
Citrix heeft inmiddels noodoplossingen uitgebracht voor de getroffen producten. De gepatchte versies die de oorspronkelijke zero-day kwetsbaarheden aanpakken zijn 14.1-73.37 en 13.1-64.23, inclusief de bijbehorende FIPS en NDcPP releases.
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft de twee kwetsbaarheden toegevoegd aan hun catalogus van bekende uitgebuiten kwetsbaarheden (Known Exploited Vulnerabilities).
Het installeren van een patch stopt de verdere uitbuiting van de kwetsbaarheden, maar verwijdert geen reeds geïmplementeerde elementen zoals web shells, backdoors, gestolen inloggegevens, gewijzigde configuratiebestanden of remote access implants die al op het apparaat aanwezig zijn.
Elk apparaat dat vóór de patching kwetsbaar was, moet als potentieel gecompromitteerd worden beschouwd totdat forensische controles zijn uitgevoerd, bereikbare inloggegevens zijn geroteerd, actieve sessies zijn ingetrokken en beide nodes van high-availability implementaties zijn geïnspecteerd. Beveiligingsteams worden geadviseerd om in logbestanden zoals ns.log, sh.log, bash.log, httpaccess.log en httperror.log te controleren op verdachte authenticatiestrings, onverwachte shell commando's, `curl | sh` activiteit, bestanden met `.pl` extensies die binaries zijn, en uitgaand verkeer van NetScaler appliances naar onbekende internet hosts.
CVE-2026-88771 betreft een kwetsbaarheid voor ongeldige inputvalidatie. Hiermee kunnen niet-geauthenticeerde aanvallers commando's uitvoeren op getroffen NetScaler appliances. Aanvallers konden shell commando's invoegen in speciaal opgestelde authenticatie-gerelateerde input, zoals gebruikersnamen. Dit is bijzonder zorgwekkend omdat de commando-uitvoering mogelijk niet direct zichtbaar is, wat het traceren van verdachte login-pogingen naar daaropvolgende kwaadaardige activiteiten bemoeilijkt.
De tweede kwetsbaarheid, CVE-2026-88772, is een DTLS memory overflow probleem dat specifiek NetScaler VPN virtuele servers treft wanneer DTLS is ingeschakeld. Een succesvolle uitbuiting van deze kwetsbaarheid kan leiden tot het uitvoeren van willekeurige code op het systeem of een denial-of-service conditie veroorzaken door de service te laten crashen. Beide kwetsbaarheden maken op afstand code-executie mogelijk zonder de noodzaak van een geldig gebruikersaccount.
Onderzoek naar incidenten bij een klant bracht aan het licht dat twee NetScaler-apparaten tekenen van uitbuiting vertoonden tijdens een upgradeproces. Eén apparaat toonde pogingen tot uitbuiting, terwijl het andere apparaat bewijs bevatte van de implementatie en waarschijnlijke uitvoering van Platypus, een op maat gemaakte remote management implant.
Platypus is oorspronkelijk een open-source remote administration framework geschreven in Go. De aanvallers hebben dit framework aangepast en gecompileerd voor FreeBSD, het besturingssysteem van NetScaler appliances. De aangepaste varianten van Platypus bevatten extra modules voor het escaleren van privileges, het handhaven van persistentie, het opschonen van sporen en het manipuleren van timestamps. De malware kon op afstand commando's uitvoeren via een terminal, bestanden lezen en schrijven, zichzelf updaten, plugins gebruiken en communiceren met een command-and-control server via wederzijdse TLS-encryptie. De malware beschikte tevens over een functie voor lokale peer-discovery, gebruikmakend van de mDNS-service `_platypus-mesh`, wat kon helpen bij het identificeren of koppelen van gecompromitteerde systemen binnen hetzelfde netwerk.
De malware werd vermomd als een Perl-gerelateerd bestand om minder op te vallen tussen de reguliere appliance bestanden. De installatiemethode maakte gebruik van een `curl` commando dat werd doorgestuurd naar de shell om de tool te downloaden en te starten. De payload werd opgeslagen in paden zoals `/var/tmp/`, `/netscaler.local/`, en `/var/core/`. Een specifiek voorbeeld betrof het bestand `.ns_09343.pl`, wat een ELF-binary bleek te zijn in plaats van een legitiem Perl-script.
Recente rapporten wijzen erop dat aanvallers de command-injection kwetsbaarheid gebruiken om web shells te installeren en configuratiegegevens van NetScaler te verzamelen.
De campagne werd gekoppeld aan het domein `entretiensol[.]com`, dat diende als staging- en controle server. Andere domeinen, waaronder `white-guard[.]pro`, `gurerasfalt[.]com`, `garyvard[.]com`, en `hickoryusedauto[.]com`, deelden infrastructuur of certificaatkenmerken met de operatie.
Citrix heeft inmiddels noodoplossingen uitgebracht voor de getroffen producten. De gepatchte versies die de oorspronkelijke zero-day kwetsbaarheden aanpakken zijn 14.1-73.37 en 13.1-64.23, inclusief de bijbehorende FIPS en NDcPP releases.
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft de twee kwetsbaarheden toegevoegd aan hun catalogus van bekende uitgebuiten kwetsbaarheden (Known Exploited Vulnerabilities).
Het installeren van een patch stopt de verdere uitbuiting van de kwetsbaarheden, maar verwijdert geen reeds geïmplementeerde elementen zoals web shells, backdoors, gestolen inloggegevens, gewijzigde configuratiebestanden of remote access implants die al op het apparaat aanwezig zijn.
Elk apparaat dat vóór de patching kwetsbaar was, moet als potentieel gecompromitteerd worden beschouwd totdat forensische controles zijn uitgevoerd, bereikbare inloggegevens zijn geroteerd, actieve sessies zijn ingetrokken en beide nodes van high-availability implementaties zijn geïnspecteerd. Beveiligingsteams worden geadviseerd om in logbestanden zoals ns.log, sh.log, bash.log, httpaccess.log en httperror.log te controleren op verdachte authenticatiestrings, onverwachte shell commando's, `curl | sh` activiteit, bestanden met `.pl` extensies die binaries zijn, en uitgaand verkeer van NetScaler appliances naar onbekende internet hosts.
Facts
1. Kwetsbaarheden CVE-2026-88771 en CVE-2026-88772 worden uitgebuit door dreigingsactoren om een aangepaste Platypus remote access tool te implementeren op blootgestelde Citrix NetScaler ADC en Gateway appliances. Beide kwetsbaarheden hebben een CVSS-score van 9.5, wat aangeeft dat ze kritiek zijn en aanzienlijke impact hebben.
2. CVE-2026-88771 is een kwetsbaarheid voor ongeldige inputvalidatie die een niet-geauthenticeerde aanvaller in staat stelt commando's uit te voeren op kwetsbare NetScaler appliances. Aanvallers konden shell commando's plaatsen in speciaal opgestelde authenticatie-gerelateerde input, waaronder gebruikersnamen. Deze zwakte is zorgwekkend omdat de uitvoering mogelijk niet onmiddellijk plaatsvindt, waardoor het moeilijker is om een verdachte login-aanvraag te koppelen aan follow-on activiteiten.
3. CVE-2026-88772 is een DTLS memory overflow probleem dat NetScaler VPN virtuele servers treft waarbij DTLS is ingeschakeld. Een succesvolle uitbuiting van CVE-2026-88772 kan leiden tot code-executie of een denial-of-service conditie door de getroffen service te laten crashen. Beide kwetsbaarheden maken code-executie op afstand mogelijk zonder een geldig gebruikersaccount.
4. Onderzoekers van Binary Defense hebben incidenten onderzocht waarbij twee NetScaler-apparaten tekenen vertoonden van uitbuiting tijdens een upgradeproces bij een klant. Eén apparaat vertoonde pogingen tot uitbuiting, terwijl het andere apparaat bewijs bevatte van de levering en waarschijnlijke uitvoering van een op maat gemaakte remote management implant genaamd Platypus.
5. Platypus is een open-source remote administration framework geschreven in Go, door de aanvallers aangepast en gecompileerd voor FreeBSD, het besturingssysteem van NetScaler appliances. De aangepaste Platypus samples bevatten extra modules voor privilege escalatie, persistentie, opschoning en manipulatie van timestamps. De malware kon commando's uitvoeren via een remote terminal, bestanden lezen en schrijven, zichzelf updaten, plugins gebruiken en communiceren met een command-and-control server via wederzijdse TLS. De malware had ook een lokale peer-discovery functie met behulp van de _platypus-mesh_tcp mDNS service, die kon helpen bij het identificeren of koppelen van gecompromitteerde systemen op hetzelfde netwerk.
6. De malware is vermomd als een Perl-gerelateerd bestand om op te gaan in normale appliance bestanden. De installatiemethode gebruikte een `curl` commando dat werd doorgestuurd naar de shell om de tool op te halen en te starten. De payload werd opgeslagen onder paden zoals `/var/tmp/`, `/netscaler.local/`, en `/var/core/`. Een voorbeeld gebruikte de bestandsnaam `.ns_09343.pl`, wat een ELF-binary was in plaats van een legitiem Perl-script.
7. Recente rapporten vermelden dat aanvallers de command-injection kwetsbaarheid gebruiken om web shells te installeren en NetScaler configuratiegegevens te verzamelen.
8. De campagne werd gekoppeld aan het domein `entretiensol[.]com`, dat fungeerde als een staging en controle server. Andere domeinen deelden infrastructuur of certificaatkenmerken met de operatie, waaronder `white-guard[.]pro`, `gurerasfalt[.]com`, `garyvard[.]com`, en `hickoryusedauto[.]com`.
9. Citrix heeft noodoplossingen uitgebracht voor de getroffen producten. Versies 14.1-73.37 en 13.1-64.23 zijn geïdentificeerd als gepatchte builds voor de twee oorspronkelijke zero-days, inclusief bijbehorende FIPS en NDcPP releases.
10. De CISA heeft de twee kwetsbaarheden toegevoegd aan de catalogus van bekende uitgebuiten kwetsbaarheden (Known Exploited Vulnerabilities).
11. Een patch stopt verder gebruik van de kwetsbaarheid, maar verwijdert niet automatisch web shells, backdoors, gestolen inloggegevens, gewijzigde configuratiebestanden of geïmplementeerde remote access implants die reeds op het apparaat aanwezig zijn.
12. Elk apparaat dat vóór het patchen blootstond, moet als potentieel gecompromitteerd worden beschouwd totdat forensische controles zijn voltooid, bereikbare inloggegevens zijn geroteerd, actieve sessies zijn ingetrokken en beide nodes in high-availability implementaties zijn geïnspecteerd. Beveiligingsteams moeten controleren op verdachte authenticatiestrings, onverwachte shell commando's, `curl | sh` activiteit, bestanden met .pl extensies die binaries zijn, en uitgaand verkeer van NetScaler appliances naar onbekende internet hosts in logbestanden zoals ns.log, sh.log, bash.log, httpaccess.log, en httperror.log.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord