La carga útil posterior a la explotación de Citrix NetScaler crea un superusuario y asigna un shell web a URL similares a CSS.

Se ha observado que ciberdelincuentes explotan una vulnerabilidad crítica de inyección de comandos previa a la autenticación en Citrix NetScaler ADC y NetScaler Gateway para desplegar shells web e intentar robar datos de configuración.

El equipo de Operaciones e Investigación de Amenazas (THOR) de LevelBlue, que analizó la actividad de explotación en múltiples entornos de clientes, informó haber identificado eventos de autenticación maliciosos de NetScaler que contenían nombres de usuario controlados por el atacante, diseñados para explotar la vulnerabilidad CVE-2026-88771.

CVE-2026-88771 (puntuación CVSS: 9.5) es una vulnerabilidad de validación de entrada incorrecta que podría permitir a un atacante no autenticado ejecutar comandos arbitrarios.

Esta vulnerabilidad de seguridad, junto con CVE-2026-88772, se dio a conocer la semana pasada tras informes de que el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) habría enviado una notificación previa a organizaciones en los Países Bajos instándolas a apagar sus dispositivos debido a la explotación activa de la vulnerabilidad. Al momento de redactar este informe, no se conocen detalles sobre quién está detrás de estos esfuerzos.

"Una de las características más consistentes en los eventos identificados fue la presencia de datos de autenticación controlados por el atacante, que contenían variaciones de las cadenas Pitboss y NSPPE asociadas con la explotación de la vulnerabilidad CVE-2026-88771", declaró LevelBlue.