LevelBlue обнаружила в нескольких средах атаки на NetScaler ADC и Gateway через CVE-2026-88771 с оценкой 9,5 по CVSS 4.0. После входа без аутентификации злоумышленники создавали учётную запись sec_monitor с правами superuser, копировали конфигурацию и ставили PHP-веб-шелл.
Для маскировки оболочку связывали с URL, похожими на штатные CSS-файлы страницы входа. Дополнительно атакующие меняли права /bin/sh, открывали обратное соединение через TCP 443 и удаляли часть временных файлов. Обычная проверка файловой системы поэтому может не показать уже завершившуюся атаку.
После обновления NetScaler следы компрометации могут остаться. Стоит проверить sec_monitor, ns.conf, httpd.conf, права /bin/sh, .local_journal и подозрительные соединения. Для потенциально взломанных устройств также нужны смена связанных учётных данных и отдельная проверка на закрепление.