ハッカーは、Citrix NetScaler ADCおよびGatewayデバイスにおける重大な脆弱性を積極的に悪用しています。CVE-2026-8452として特定されたこの欠陥は、認証されていない攻撃者が細工されたSAMLリクエストを介してヒープオーバーフローを引き起こすことを可能にします。セキュリティ研究者は、このオーバーフローがroot権限でのリモートコード実行に利用できることを実証しました。実際の攻撃では、脅威アクターは侵害されたアプライアンスにx.phpやz.phpのようなPHPウェブシェルを展開しています。この脆弱性はインターネットに面した認証境界を標的としており、組織に重大なリスクをもたらします。攻撃者はnsppeプロセス内でシェルコードを実行することによりrootアクセスを取得します。侵害の兆候には、異常なSAMLリクエスト、PHPウェブシェル、および実行された検出コマンドが含まれます。組織は、NetScalerデバイスを直ちにパッチ適用済みのバージョンに更新し、実際のビルドを確認する必要があります。侵害が疑われる場合は、ウェブシェル、認証情報、およびセッションの徹底的な調査が必要です。この積極的な悪用は、迅速なパッチ適用とNetScalerアプライアンスの注意深い監視を必要とします。