Los atacantes explotan una vulnerabilidad de NetScaler para obtener acceso de administrador e implementan WHIPSHOT y SLAPSHOT.

Se ha detectado que actores maliciosos desconocidos están explotando una vulnerabilidad de seguridad recientemente corregida en los dispositivos Citrix NetScaler ADC y NetScaler Gateway para atacar a organizaciones en Norteamérica y Europa.

Esta actividad, observada por Mandiant Consulting y Google Threat Intelligence Group (GTIG) en septiembre de 2026, ha tenido como objetivo los sectores gubernamental, de servicios financieros, tecnológico, educativo y de servicios legales y profesionales.

En una publicación compartida en LinkedIn, Charles Carmakal, director de tecnología de Mandiant Consulting, afirmó que las intrusiones dirigidas han afectado a decenas de organizaciones y advirtió sobre una "explotación generalizada y oportunista de las vulnerabilidades CVE-2026-88772 y CVE-2026-88771 por parte de diversos actores maliciosos en un futuro próximo".

"La explotación de la vulnerabilidad CVE-2026-88772 elude la autenticación y provoca la terminación no controlada del NetScaler Packet Processing Engine (NSPPE) para establecer un acceso inicial de nivel raíz", declaró el gigante tecnológico.

Se ha observado que los ataques utilizan la vulnerabilidad como arma para desplegar un conjunto de herramientas de post-explotación que incluye shells web PHP no reportados anteriormente, como WHIPSHOT, capaces de disfrazar cargas útiles de comando y control (C2) codificadas en Base64 dentro de encabezados HTTP nativos.