Citrix NetScalerの重大な脆弱性を突く攻撃が活発化、特権アカウント作成やCSS偽装Webシェルを設置する手口が判明

要点

• Citrixの「NetScaler ADC」および「NetScaler Gateway」に存在する深刻なコマンドインジェクション脆弱性（CVE-2026-88771）を悪用した攻撃が確認された。

• セキュリティ企業LevelBlueの調査により、攻撃者が侵入後に特権ユーザーの作成や設定データの窃取、リバースシェルの確立を行っている実態が明らかになった。

• 攻撃には不正なスクリプトが使われており、正規のCSSファイルに偽装したWebシェルの設置や自身の削除による痕跡消去などの隠蔽工作が確認されている。

• 関連する脆弱性（CVE-2026-88772）を突く攻撃によって、すでに数十の組織が被害を受けていることも報告されている。

• Citrixのネットワーク機器「NetScaler ADC」および「NetScaler Gateway」に存在する認証前のコマンドインジェクション脆弱性（CVE-2026-88771）を悪用し、不正プログラムの設置や機器設定の窃取を試みる攻撃が相次いでいる。米セキュリティ企業LevelBlueの脅威調査チーム「THOR」が複数顧客の環境を分析した結果として2026年10月1日までに明らかにした。攻撃者は単なる脆弱性の確認にとどまらず、侵入後に管理者権限を持つアカウントを作成するなど本格的な侵害活動を展開しているという。

認証を回避して侵入を試みるCVE-2026-88771の悪用手口

今回悪用が確認された「CVE-2026-88771」は、入力値の検証不備に起因する脆弱性で、共通脆弱性評価システム（CVSS）のスコアは深刻度が高い「9.5」と評価されている。この欠陥を突かれると、遠隔の未認証の攻撃者によって任意のシステムコマンドを実行される危険性がある。本脆弱性は、別の脆弱性「CVE-2026-88772」とともに前週に公開されたばかりだった。なお、オランダ国家サイバーセキュリティセンター（NCSC-NL）がアクティブな悪用事例を理由に国内組織へ機器の停止を強く促す事前通知を送ったと報じられていたが、現時点で攻撃を主導している組織や個人の正体は判明していない。

LevelBlueが観測した攻撃事例では、CVE-2026-88771を悪用するために、攻撃者が細工したユーザー名を含む認証イベントが共通して検出された。これらの一連の通信データには、「pitboss」や「NSPPE」といった文字列が含まれていることが特徴的な傾向として確認されている。

第2段階ペイロードによるリバースシェルの確立と妨害工作

攻撃者は初期侵入を果たすと、標準的な通信コマンドである「curl」や「wget」を実行し、外部サーバーから「第2段階ペイロード」と呼ばれる追加の不正プログラムをダウンロードしていた。観測された通信先には「64.94.85[.]67:443/update_c08937.pl」「31.56.197[.]72:9090/lula」「23.27.143[.]20:9000/main.py」などの外部サーバーが含まれている。

これらのうち、Pythonスクリプト「main.py」は、外部IPアドレス「45.141.21[.]130」のTCPポート443宛てにリバースシェルを確立する機能を備えていた。リバースシェルとは、標的機器側から外部サーバーへ通信を接続させて遠隔操作を可能にする手法である。さらにこのスクリプトは、システム内で稼働している「/var/python/bin/customsnmpd」に関連するプロセスを探索し、「kill -9」コマンドを用いて強制終了させる妨害処理も実行していた。

特権アカウント作成・設定データ窃取・CSSに偽装したWebシェル

もう1つの主要なペイロードであるPerlスクリプト「update_c08937.pl」は、侵入後の権限維持や情報窃取を行う複数の機能を備えた極めて巧妙なものだった。

本スクリプトが実行する具体的な処理内容は以下の通りである。

• 特権アカウントの作成: 機器の設定ファイル「/flash/nsconfig/ns.conf」を改変し、「sec_monitor」というローカルアカウントを作成した上で、最高権限である「superuser（スーパーユーザー）」ロールを付与する。
• 設定データの窃取と痕跡消去: 設定ファイルが格納されている「/flash/nsconfig」ディレクトリ全体を「/tmp/update_result_3567cs.tgz」としてアーカイブ化し、外部サーバー「64.94.85[.]67:443」へ送信する。データ送信が完了すると、作成したアーカイブファイルとスクリプト自身をディスク上から消去し、調査時の手がかりを減らす隠蔽工作を行う。
• Webシェルの配備: シェル環境「/bin/sh」の権限を「6555」に変更し、「/var/netscaler/logon/LogonPoint/.local_journal」にPHP製のWebシェル（ブラウザ経由で遠隔操作を可能にする不正プログラム）を配置して、コマンド実行やファイルの送受信を可能にする。
• CSSへの偽装: Webサーバー設定ファイル「/etc/httpd.conf」を変更してPHPの実行を有効化した上で、WebシェルへのアクセスURLをNetScalerの正規のCSSリソースに似せた形式へマッピングする。このCSSに偽装する手口は、セキュリティ企業GreyNoiseが観測した攻撃活動とも一致している。

LevelBlueは、攻撃者が「whoami」などの基本的なコマンドで侵入の可否を試すだけでなく、追加プログラムの取得や設定データの収集、リバースシェルの確立、特権アカウントの作成、Webシェルの配備といった多岐にわたる活動を行っていると報告している。

関連する脆弱性CVE-2026-88772の被害も拡大

今回のLevelBlueによる報告の前日には、米Mandiant Consultingと米Google Threat Intelligence Group（GTIG）が、関連するもう1つの脆弱性「CVE-2026-88772」を悪用した大規模な攻撃状況を報告している。その調査によると、「WHIPSHOT」と呼ばれるPHP製Webシェルや「SLAPSHOT」と呼ばれるPython製トンネラー（通信を中継して内部ネットワークへアクセスするツール）を送り込む攻撃により、すでに数十もの組織が被害を受けていることが明らかになっている。