攻撃者がCitrix NetScalerの2つの重大なゼロデイ脆弱性を悪用し、侵害したアプリケーションデリバリーコントローラー（ADC）およびGatewayアプライアンスに、オープンソースのリモート管理フレームワーク「Platypus」の改変版を展開していることが明らかになりました。
StudySecurity
Binary Defenseの「Analysis on Demand and Incident Response」チームは、2台のCitrix NetScalerデバイスが関与する侵入事案を調査しました。1台のアプライアンスでは、悪用とペイロード配信の痕跡が確認されています。
もう1台からは悪用の兆候が見つかったものの、その後の悪意ある活動は確認されていません。攻撃者は得たアクセス権を使い、FreeBSD互換のカスタマイズされたPlatypusエージェントをインストールしており、ネットワーク境界のデバイスが永続的なリモートアクセスの足場となる可能性がありました。
Citrix NetScalerのゼロデイ脆弱性
攻撃は2026年9月24日ごろに始まり、インターネットに公開されたCitrix NetScaler ADCおよびGatewayインスタンスを、脆弱性CVE-2026-88771とCVE-2026-88772を通じて標的にしました。
CVE-2026-88771は、認証前に悪用可能なコマンドインジェクションの脆弱性です。攻撃者は、NSPPEパケットエンジンのクラッシュメッセージに似せた細工済みデータを送信し、後にNetScalerのログへ書き込まれる値にシェルコマンドを埋め込むことができます。
脆弱なエラー処理スクリプト「ns_monuploadd_err.pl」は、このログの内容をシェルコマンド経由で処理するため、埋め込まれたペイロードが実行される可能性があります。
この脆弱性は特定のURLパスに限定されません。ログインの値、ヘッダー、ブロックされたリクエスト、User-Agent文字列など、攻撃者が制御できるHTTP入力をログに記録するNetScalerのコンポーネントであれば、脆弱なログ記録・処理の流れへの経路になり得ます。
StudySecurity
検知上の大きな課題は、ペイロードの実行が監視スクリプトの実行時まで遅延し、最大で24時間ほどかかる可能性があることです。
CVE-2026-88772は、NetScalerパケット処理エンジンにおける認証前のDTLSメモリオーバーフローの問題です。DTLSが有効なシステムが影響を受けます。管理者が明示的に無効化しない限り、VPN仮想サーバーでは既定で有効です。
この問題は、不正な形式のDTLSハンドシェイクフラグメントがNetScalerのバッファーに再構成され、十分な境界チェックなしに固定サイズのスクラッチバッファーへコピーされる際に発生します。
攻撃者は脆弱性を悪用した後、curlでインストーラーをダウンロードしてシェル（sh）に渡すワンライナーのブートストラップコマンドを使い、改変版のPlatypusインプラントを展開しました。
Platypusは、Go言語で書かれたオープンソースのリモート管理プラットフォームです。リモートシェル、ファイル操作、ピア間通信、プラグイン実行、アップデート、永続化、権限昇格、タイムスタンプ改ざん、自己削除に対応しています。
攻撃者はこのソフトウェアを、Citrix NetScalerアプライアンスの基盤OSであるFreeBSD上で動作するように改変し、インプラントをPerl関連（.pl）のペイロードとしてパッケージ化していました。
調査担当者は、NetScalerのns.logの記録からインストールコマンドを発見しました。このコマンドには固有のトークンが使われており、攻撃者のインフラがインストールを検証し、侵害したアプライアンスを識別できる仕組みになっていました。
回収されたアーティファクトには、FreeBSD向けインプラント、同じコマンド＆コントロール（C2）インフラ上でホストされていたWindowsエージェント、ブートストラップインストーラーが含まれていました。これらはすべて、Platypusの単一のプライベートフォークに紐づいています。
FreeBSD版とWindows版は、同じGoツールチェーン、ビルド文字列、コミット識別子、タイムスタンプ、Ed25519のプラグイン署名鍵を共有していました。エージェントは2026年9月28日にコンパイルされ、その約1時間後にC2証明書が発行されています。NetScalerの悪用活動の後、インフラが迅速に準備されたことがうかがえます。
今回の事案は、公開されているツールによって、初期侵入から持続的な制御の確立までの時間が短縮され得ることを示しています。攻撃者は侵害後用のマルウェアを一から開発する代わりに、成熟したプロジェクトをフォークし、特定のプラットフォーム向けに改変して、公開版にない機能を追加できます。
Platypusは、過去の悪意あるインフラでも確認されています。LumenのBlack Lotus Labsは、JDYボットネットのエコシステムがPlatypusを使い、侵害したIoT機器やSOHO機器の一部を管理していたと報告しました。より広範なJDYネットワークは、脆弱性の迅速な悪用を可能にする、中国と関連した偵察基盤と評価されています。
StudySecurity
Citrix NetScalerアプライアンスを使用する組織は、Citrixが提供する修正プログラムと緩和策をただちに適用してください。あわせて、ns.logなどのアプライアンスのログに不審な認証文字列やクラッシュメッセージの痕跡がないか確認し、/var/tmp/ディレクトリ配下の予期しないファイルや活動を調査することが推奨されます。
防御側は、不審なcurl | shの実行、通常とは異なるアウトバウンドのTLS接続、mTLSの登録動作、不正なFreeBSDバイナリー、PlatypusやTermite型のリモート管理活動の兆候も調べる必要があります。
確認されたインプラントは自己削除したり、登録中に失敗したりする可能性があります。そのため、ディスク上にペイロードが残っていない場合でも、ログを保全して迅速にトリアージすることが重要です。
新たなマルウェアが出現したら、すぐに防御を更新しましょう。16,000のSOCのデータを活用するTIフィードを統合しましょう。
翻訳元: https://gbhackers.com/hackers-exploit-citrix-netscaler-zero-days/
