كشفت تقارير أمنية حديثة عن تصاعد عمليات استغلال ثغرة حرجة في منتجات Citrix NetScaler ADC وNetScaler Gateway، حيث انتقل المهاجمون من مرحلة اختبار الثغرة إلى تنفيذ عمليات اختراق متقدمة تتضمن إنشاء حسابات إدارية فائقة الصلاحيات، وسرقة ملفات التهيئة الحساسة، وزراعة أدوات تحكم عن بُعد مخفية داخل مسارات تبدو شرعية وتحاكي ملفات CSS المستخدمة طبيعيًا في واجهات الويب.
وتعكس هذه التطورات حجم الخطورة المرتبطة بالثغرات التي تتيح تنفيذ الأوامر عن بُعد قبل المصادقة، إذ تمنح المهاجمين القدرة على الوصول إلى الأنظمة المستهدفة دون الحاجة إلى أي بيانات اعتماد أو حسابات مستخدمين، وهو ما يجعلها من أكثر أنواع الثغرات استهدافًا من قبل الجهات الإجرامية ومجموعات التجسس السيبراني.
ثغرة CVE-2026-88771 تسمح بتنفيذ أوامر برمجية دون تسجيل دخول
بحسب فريق Threat Hunt Operations & Research المعروف اختصارًا باسم THOR التابع لشركة LevelBlue، رُصدت محاولات استغلال واسعة للثغرة CVE-2026-88771 التي حصلت على درجة خطورة 9.5 من 10.
وتكمن المشكلة الأمنية في ضعف التحقق من صحة المدخلات، ما يسمح لمهاجم غير مصادق عليه بتنفيذ أوامر عشوائية على الجهاز المستهدف. وقد لاحظ الباحثون نمطًا متكررًا في الهجمات يتمثل في استخدام أسماء مستخدمين معدلة خصيصًا تتضمن سلاسل نصية مثل “pitboss” و”NSPPE”، وهي مؤشرات ارتبطت مباشرة بعمليات استغلال الثغرة.
وتأتي هذه التطورات بعد تحذيرات مبكرة أطلقتها جهات أمنية أوروبية من الاستغلال النشط للثغرة، ما دفع بعض المؤسسات إلى اتخاذ إجراءات احترازية صارمة لحماية أجهزتها من الاختراق.
المهاجمون ينتقلون من إثبات المفهوم إلى سرقة البيانات الفعلية
أظهرت التحليلات أن الهجمات لم تقتصر على تنفيذ أوامر بسيطة مثل whoami للتحقق من نجاح الاختراق، بل تطورت بسرعة نحو تحميل حمولات خبيثة إضافية وسرقة بيانات التهيئة الخاصة بأجهزة NetScaler.
ورصد الباحثون استخدام أوامر curl وwget لتنزيل ملفات برمجية إضافية من خوادم خارجية، إضافة إلى تنفيذ أوامر مخصصة لاستخراج معلومات التكوين الحساسة الخاصة بالمنصة.
ويرى الخبراء أن هذا السلوك يشير إلى عمليات اختراق حقيقية تستهدف جمع المعلومات وإنشاء موطئ قدم دائم داخل البيئة المستهدفة، وليس مجرد مسح أو استكشاف أولي للثغرة.
سكربت Python ينشئ قناة تحكم عكسية ويتخلص من العمليات الأمنية
من بين الحمولات المكتشفة ملف Python باسم main.py، صُمم لإنشاء Reverse Shell يتيح للمهاجم التحكم الكامل في الجهاز عن بُعد من خلال قناة اتصال مشفرة عبر المنفذ 443.
كما يقوم السكربت بالبحث عن عمليات معينة تعمل داخل النظام، وعلى رأسها العملية المرتبطة بالمسار:
/var/python/bin/customsnmpd
وعند العثور عليها يجري إيقافها قسرًا باستخدام الأمر kill -9، وهو ما قد يمثل محاولة لتعطيل مكونات مراقبة أو إدارة داخل الجهاز المستهدف تمهيدًا لمزيد من الأنشطة الخبيثة.
وتكشف هذه الإجراءات عن مستوى متقدم من الاحترافية في تصميم الهجوم، إذ لا يكتفي المهاجم بالحصول على الوصول الأولي، بل يعمل على إزالة العوائق التي قد تُعرّض نشاطه للكشف أو التعطيل.
إنشاء حساب «سوبر يوزر» وزراعة Web Shell دائم داخل النظام
أحد أخطر الاكتشافات تمثل في تحليل سكربت Perl يحمل اسم update_c08937.pl، والذي يتضمن مجموعة من الوظائف المصممة لتثبيت موطئ قدم طويل الأمد داخل أجهزة Citrix NetScaler.
ويقوم السكربت بتعديل ملف الإعدادات الرئيسي:
/flash/nsconfig/ns.conf
لإنشاء حساب محلي جديد باسم:
sec_monitor
ثم يمنحه مباشرة صلاحيات Superuser الكاملة، بما يسمح للمهاجم بالتحكم المطلق بالجهاز حتى في حال إغلاق نقطة الدخول الأصلية.
ولا يتوقف الأمر عند هذا الحد، بل يعمل السكربت أيضًا على جمع ملفات التهيئة الموجودة داخل الدليل:
/flash/nsconfig
ثم ضغطها في أرشيف خاص قبل رفعها إلى خادم خارجي يتحكم فيه المهاجمون. وتحتوي هذه الملفات عادة على إعدادات الشبكة والحسابات والشهادات الرقمية ومعلومات البنية التحتية الحساسة.
وبعد اكتمال عملية السرقة، يقوم السكربت بحذف الأرشيف وملفاته التنفيذية من الجهاز لتقليل البصمة الجنائية وإخفاء آثار النشاط الخبيث.
Web Shell متخفية في هيئة ملفات تصميم شرعية
في خطوة تعكس درجة عالية من التمويه، يعمد المهاجمون إلى زراعة Web Shell داخل المسار:
/var/netscaler/logon/LogonPoint/.local_journal
وتمنح هذه الأداة للمهاجم إمكانات تنفيذ الأوامر ورفع الملفات وتنزيلها عن بُعد.
لكن الأخطر أن السكربت يقوم أيضًا بتعديل ملف إعدادات خادم الويب:
/etc/httpd.conf
من أجل تفعيل تنفيذ صفحات PHP وربط Web Shell بروابط URL تبدو وكأنها ملفات CSS شرعية تابعة لمنصة NetScaler.
ويؤدي هذا الأسلوب إلى صعوبة اكتشاف النشاط الخبيث، حيث تبدو الطلبات الواردة إلى الخادم وكأنها استدعاءات عادية لملفات التصميم المستخدمة في واجهات المواقع الإلكترونية.
موجة هجومية أوسع تستهدف بيئات NetScaler حول العالم
تأتي هذه التطورات بعد تقارير أمنية أخرى أشارت إلى تعرض عشرات المؤسسات لهجمات استغلت الثغرة الشقيقة CVE-2026-88772، والتي استُخدمت لنشر Web Shells تعتمد على PHP مثل WHIPSHOT، بالإضافة إلى أداة أنفاق شبكية مكتوبة بلغة Python تحمل اسم SLAPSHOT.
ويشير تزامن استغلال الثغرتين إلى حملة هجومية واسعة تستهدف أنظمة Citrix NetScaler، خاصة أن هذه الأجهزة تُستخدم على نطاق واسع كبوابات وصول آمنة وحلول موازنة أحمال وإدارة اتصالات المؤسسات الحساسة.
كما تكشف الحملة عن نمط متكرر في الهجمات الحديثة يتمثل في الانتقال السريع من استغلال الثغرة إلى تحقيق الاستمرارية داخل الشبكة، ثم سرقة ملفات التهيئة وزراعة حسابات إدارية خفية وأدوات تحكم طويلة الأمد، وهو ما يزيد من أهمية تطبيق التحديثات الأمنية بصورة فورية ومراقبة حسابات المستخدمين والصلاحيات والملفات التشغيلية غير المعتادة داخل بيئات NetScaler.
