NetScaler: эксплойты CVE-2026-88771 и CVE-2026-88772 создают суперпользователей и прячутся в CSS-URL

LevelBlue раскрыла постэксплуатационные нагрузки после атак на NetScaler через zero-day CVE-2026-88771 и CVE-2026-88772 (обе 9.5). Perl-скрипт создаёт суперпользователя sec_monitor, выгружает /flash/nsconfig на внешний хост, ставит PHP-веб-шелл под видом CSS-URL и удаляет собственный архив, чтобы замести следы.

• CVE-2026-88771 — pre-auth command injection 9.5, затрагивает все NetScaler ADC и Gateway
• CVE-2026-88772 — переполнение памяти через DTLS, включённый по умолчанию на VPN-серверах
• Payload создаёт суперпользователя sec_monitor и выгружает конфиг на 64.94.85[.]67:443
• Citrix выпустила патчи 27 сентября, CISA добавила обе CVE в каталог эксплуатируемых