Výzkumníci zveřejnili technické podrobnosti o kritické zranitelnosti CVE-2026-88772 v zařízeních Citrix NetScaler ADC a NetScaler Gateway, která je aktivně zneužívána. Zranitelnost má skóre CVSS 9,5 a jde o přetečení paměti při zpracování protokolu DTLS v komponentě NetScaler Packet Processing Engine (NSPPE). Zároveň Mandiant a Google Threat Intelligence Group popsaly útoky, při nichž útočníci na napadených zařízeních nasazují nástroje WHIPSHOT a SLAPSHOT. CISA obě kritické chyby NetScaleru přidala do katalogu zneužívaných zranitelností v neděli 27. září a Citrix potvrdil zneužívání téhož dne a vydal k oběma opravy, spolu s dalšími šesti chybami.

Podle analýzy výzkumníka watchTowr Siny Kheirkhaha vzniká chyba nesprávnou prací s vyrovnávací pamětí při skládání fragmentovaných handshake zpráv DTLS. Zpráva o délce 120 bajtů může dorazit jako 120 fragmentů, z nichž každý má deklarovanou délku 120, ale skutečnou délku fragmentu jen jeden bajt. Pomocná vyrovnávací paměť má kapacitu 35 840 bajtů, jeden paket může mít 1 459 bajtů a při vhodném sestavení může přetečení dosáhnout přibližně 174 kB. Výzkumníci ukázali, že s využitím systémového volání mprotect() lze obejít ochranu NX a přesměrovat běh programu na libovolný shellkód s právy root, a to bez předchozího přihlášení. Současně s ní byla zveřejněna zranitelnost CVE-2026-88771, která je zneužívána společně s touto chybou.

Mandiant a GTIG pozorovaly zneužívání v září 2026. Cíle se nacházely v Severní Americe a Evropě a patřily do sektorů státní správy, finančních služeb, technologií, vzdělávání a právních služeb. Po získání přístupu útočníci nasazují WHIPSHOT, webshell v PHP, který z hlaviček HTTP vyčítá příkazy a data zakódovaná v Base64, provádí je a vrací výsledky. Škodlivý kód se maskuje jako soubory s příponou .deb nebo .sig. SLAPSHOT je tunelovací nástroj v Pythonu, který funguje jako vnitřní síťový most: přijímá příkazy z WHIPSHOTu a předává libovolné TCP toky na hostitele uvnitř sítě. Po deseti minutách nečinnosti po sobě odstraňuje stopy.