Citrix NetScalerの脆弱性を悪用した標的型攻撃が判明、新種マルウェアでroot権限の掌握と内部侵入を実行

要点

• Citrixのネットワーク機器「NetScaler ADC」および「Gateway」の脆弱性（CVE-2026-88772）を悪用したサイバー攻撃が北米や欧州で観測された。

• 攻撃者はパケット処理の不備を突き、認証を経ずに最高権限（root権限）で任意のコードを実行していた。

• 侵入後には新種のWebシェル「WHIPSHOT」やPython製トンネリングツール「SLAPSHOT」が展開されていた。

• Webサーバー設定の改ざんにより不正ファイルを画像などに偽装し、検知を回避しながら組織内部の偵察や認証情報窃取を試みていた。

• 米Googleの脅威インテリジェンスグループ（GTIG）とMandiant Consultingは2026年9月、Citrixのネットワーク機器「NetScaler」シリーズに存在する脆弱性を悪用したサイバー攻撃が複数確認されたと公表した。すでに修正パッチが提供されている脆弱性を突く手口で、北米や欧州の政府機関や金融機関、テクノロジー企業などが標的となった。攻撃者は機器の制御権を奪った後、新種の不正プログラム群を展開して内部ネットワークへの侵入や情報窃取を進めていたという。

北米・欧州の政府機関や金融機関など多岐にわたる分野が標的に

GoogleとMandiantの報告によると、一連の攻撃活動は2026年9月に観測された。標的となったのは政府機関をはじめ、金融サービス、テクノロジー、教育、法務および専門サービスなど多岐にわたる分野の組織である。

悪用されたのは「CVE-2026-88772」として管理されている脆弱性で、共通脆弱性評価システム（CVSS）のスコアは9.5と極めて高い危険度を示している。影響を受けるのは、負荷分散装置である「NetScaler ADC」およびリモートアクセスを提供する「NetScaler Gateway」だ。セキュリティ企業watchTowr Labsの分析によれば、パケット処理エンジンにおける通信プロトコル処理のメモリ不具合に起因しているという。

認証をバイパスしてroot権限を奪取する侵入の手口

Googleの解説によると、本脆弱性の原因はNetScaler Packet Processing Engine（NSPPE：パケット処理を受け持つ中核コンポーネント）におけるDTLS（暗号化通信プロトコル）の処理不備にある。

事前認証の暗号化ハンドシェイク時に、意図的に破損または断片化させた特殊なレコードヘッダーを受信すると、NSPPE内でヒープメモリ境界の破壊が生じる。これによりプログラムの制御フローが書き換わり、基盤OSであるFreeBSD上でroot権限（システムの完全な操作権限）を持つ任意のシェルコードが実行される。攻撃者は認証を完全に迂回した状態で、この段階で機器への初期アクセスを確立していた。

連携して動く新種ツール「WHIPSHOT」と「SLAPSHOT」

侵入に成功した攻撃者は、その後の活動を維持・拡大するための専用ツールキットを送り込んでいた。その中核となっていたのが、今回新たに確認された「WHIPSHOT」と「SLAPSHOT」と呼ばれる2つの不正プログラムである。

「WHIPSHOT」はPHPで記述された軽量なWebシェル（外部からWebサーバーを遠隔操作するための不正プログラム）だ。通常のHTTPリクエストヘッダー内にBase64形式でエンコードした遠隔操作用のコマンドやペイロードを埋め込んで通信を隠蔽し、受け取った命令を実行して結果を返す機能を持つ。

一方の「SLAPSHOT」は、Pythonで書かれたTCPトンネリングツールである。WHIPSHOTから命令を受け取り、内部ホスト宛ての任意のTCP通信を中継するブリッジとして機能していた。攻撃者はこのツールをプロキシとして利用し、組織の内部ネットワークに対する偵察活動や認証情報の窃取を手動で進めていたという。さらにSLAPSHOTには、10分間通信や命令がない場合にポート情報やロックファイルを自ら削除してプロセスを終了し、フォレンジック調査の痕跡を最小限に抑える機能も組み込まれていた。

巧妙なファイル偽装と再起動による永続化

攻撃者は検知を免れるため、Webサーバーの設定ファイル（httpd.conf）を書き換える巧妙な隠蔽工作を行っていた。初期インストーラーを通じてDebianパッケージ形式（.deb）のファイルをPHPスクリプトとして処理できるように設定を変更し、不正なWebシェルを特定のディレクトリー（/netscaler/gui/vpn/scripts/linux）に配置していた。

また別の事例では、mod_phpモジュールを有効化した上で、署名ファイル（.sig）をPHPスクリプトとして登録する手法が取られていた。これにより、画像ファイル（.ico）へのアクセスをWebシェル（.sigファイル）の実行へマッピングしていたという。たとえば「/vpn/media/e6ee7c85.ico」へのリクエストが同名のPHPスクリプトによって処理される仕組みだ。実際のアクセスログでは「404 Not Found」を返しながらも、処理時間が異常に長くレスポンスサイズが数キロバイトに及ぶ不審な挙動が確認されている。

その後、攻撃者はシェル実行ファイル（/bin/sh）の権限を変更し、アプライアンス全体を再起動させることで、root権限での永続的な実行環境を確立していた。

境界機器を狙う攻撃への警戒

Googleは今回の事案について、侵入経路としてエッジ機器（企業ネットワークの境界に位置する機器）を狙う手口が依然として続いていることを示すものだと指摘している。ADCやVPNゲートウェイ、ファイアウォールなどの機器はインターネットに直接公開されている一方、端末監視ツール（EDR）の監視対象外になりやすく、認証情報を保持・処理することが多いため、攻撃者にとって魅力的な標的であり続けていると説明している。