نشرت Citrix نشرتين أمنيتين لـNetScaler في أسبوع واحد. أصلحت CTX697096 في 27 سبتمبر 2026 ثماني ثغرات في NetScaler ADC وNetScaler Gateway، اثنتان منها بدرجة 9.5 على CVSS v4: الثغرة CVE-2026-88771 لتنفيذ تعليمات برمجية عن بُعد دون مصادقة في الإعداد الافتراضي، والثغرة CVE-2026-88772 وهي تجاوز في الذاكرة يتطلب DTLS، وDTLS مفعّل افتراضيًا على خوادم VPN الافتراضية. وتقول Citrix إن استغلال الثغرتين «على عمليات نشر لم تُطبَّق عليها إجراءات التخفيف قد رُصد». ثم جاءت CTX697174 في 3 أكتوبر بالثغرة CVE-2026-88779 (بدرجة 8.7)، وهي حجب خدمة في معالجة SAML. وبحسب بيانات KEV لدى CISA، أُضيفت الثغرتان الأوليان إلى قائمة الثغرات المستغلة فعليًا في 27 سبتمبر والثالثة في 4 أكتوبر.
تتوقف معظم التغطيات عند «طبّق التحديث الآن». الجزء المهم بعد التحديث موجود في تحليل Rapid7: في إحدى حالتي الاختراق اللتين فحصتهما، جعل المهاجم الجهاز يحزم إعداداته كاملة في ملف يستطيع أي شخص تنزيله.
أي إصدار يُثبَّت
إصدارات 3 أكتوبر تتضمن إصلاحات سبتمبر، فانتقل إليها مباشرة. بحسب CTX697174:
| الفرع | الإصدار المُصلَح أو أحدث |
|---|---|
| 14.1 | 14.1-73.41 |
| 13.1 | 13.1-64.28 |
| 14.1 FIPS | 14.1-73.41 FIPS |
| 13.1 FIPS وNDcPP | 13.1-37.282 |
لا تنطبق CVE-2026-88779 إلا إذا كان الجهاز يعمل كمزوّد خدمة SAML أو مزوّد هوية. تقترح Citrix البحث في الإعداد عن add authentication samlAction أو add authentication samlIdPProfile. ثبّت الإصدار الأحدث حتى إن لم يظهر أي منهما، لأنه يحمل أيضًا إصلاحات 88771 و88772. نسخ NetScaler التي يديرها العميل في عمليات نشر Secure Private Access الهجينة تحتاج الترقية نفسها، أما الخدمات السحابية التي تديرها Citrix فلا تحتاج إلى إجراء.
ما الذي حزمه المهاجم
رصدت Rapid7 أول محاولة استغلال في 20 سبتمبر 2026 الساعة 14:28 بتوقيت UTC، أي قبل النشرة بأسبوع. في الاختراق الأول شغّل الحمولة الخبيثة tar على /flash/nsconfig وكتب الأرشيف في /var/netscaler/gui/vpn/c، وتقول Rapid7 إنه كان متاحًا على https://<gateway>/vpn/c دون تسجيل دخول. وفي المؤسسة الثانية عثرت على webshell رُصد في 24 سبتمبر في /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver.
بحسب Rapid7 يحتوي الأرشيف على ns.conf بكلمات المرور المشفّرة لحساب nsroot وحسابات المسؤولين الأخرى، وكلمات مرور الربط (bind) لـLDAP وRADIUS وTACACS، ومجلد ssl/ بالشهادات والمفاتيح الخاصة، ومفاتيح مضيف SSH، وإعدادات مزامنة HA. لا تقول Rapid7 إن الأرشيف نُزِّل، ولا حاجة لذلك. إذا كان الملف على عنوان عام في بوابتك فلا يمكنك إثبات أن أحدًا لم يأخذه.
التحديث لا يستعيد ملفًا مسرّبًا
الترقية تسدّ الثغرة، لكنها لا تفعل شيئًا لكلمة مرور ربط موجودة الآن على قرص شخص آخر. إذا كانت بوابتك على إصدار متأثر ومكشوفة للإنترنت في أي وقت بين 20 سبتمبر ويوم التحديث، فاعتبر أسرارها مكشوفة. خطوات Citrix نفسها للأجهزة المشتبه في اختراقها (CTX694799) تحدد ما يجب تغييره، والترتيب التالي يتبعها:
- ابحث أولًا عن الملفين المذكورين. إذا وُجد
/var/netscaler/gui/vpn/cأو.ctxs.receiverفأنت أمام حادث أمني لا نافذة صيانة. نفّذ CTX694799 كاملة، بما في ذلك إعادة البناء من نسخة احتياطية سليمة. - غيّر حسابات الخدمة التي يرتبط بها NetScaler على الأنظمة المالكة لها: حساب الربط في LDAP، والأسرار المشتركة لـRADIUS، ومفاتيح TACACS، وأي رموز OAuth ومفاتيح API وسلاسل SNMP community.
- ألغِ وأعد إصدار كل شهادة كان مفتاحها الخاص على الجهاز، بدءًا بشهادة البوابة العامة.
- غيّر كل كلمات المرور المحلية في NetScaler، وأولها nsroot. وإذا استعدت من نسخة احتياطية فبدّل مفاتيح تشفير المفاتيح (KEK) أيضًا كما تنص CTX694799.
- أعد تعيين كلمات مرور المستخدمين الذين دخلوا عبر خوادم Gateway أو AAA خلال فترة الانكشاف، وأنهِ الجلسات التي ما زالت مفتوحة.
حساب الربط في LDAP هو الذي يُنسى. غالبًا ما يملك صلاحية قراءة الدليل كله، ولا أحد يتذكر أي أنظمة أخرى تستخدمه. تبديله سيعطّل شيئًا ما، فاجمع قائمة تلك الأنظمة قبل تغيير كلمة المرور لا بعد أن تبدأ الهواتف بالرنين.
قلنا الشيء نفسه عن مكاتب الدعم بعد ثغرات Zammad غير المعروفة لدى DIVD: النظام الطرفي الذي يخزّن أسرار التكامل هو حلقة مفاتيح، وإصلاح الخلل لا يعيد المفاتيح. والجلسات المسروقة تعمل بالطريقة نفسها على مستوى المستخدم، ولهذا تستحق أرقام تصيّد AiTM في تقرير Microsoft للدفاع الرقمي القراءة إلى جانب هذا المقال.
إذا كنت تدير بوابات لفرق أخرى
مزودو الخدمات المُدارة وفرق تقنية المعلومات المركزية التي تدير بوابات لعدة وحدات أعمال يمكنهم ترتيب العمل بسؤال واحد لكل جهاز: على أي إصدار كان، وفي أي تاريخ رُقّي؟ هذا التاريخ، مقارنة بـ20 سبتمبر، يحدد إن كانت مهمتك تحديثًا أم تبديلًا للأسرار. وإذا أردت مساعدة في التبديل أو في نقل الأسرار من إعدادات الأجهزة إلى خزنة أسرار، فريق البنية التحتية لدينا يقوم بهذا العمل.
الأسئلة الشائعة
أي إصدارات NetScaler تُصلح الثغرات المستغلة الثلاث؟
14.1-73.41 و13.1-64.28 و14.1-73.41 FIPS، و13.1-37.282 لفرعي 13.1 FIPS وNDcPP، أو أحدث. المصدر CTX697174، وهي تتضمن إصلاحات CTX697096.
هل تكفي الترقية؟
فقط إذا لم يكن الجهاز مكشوفًا قط على إصدار متأثر. رصدت Rapid7 استغلالًا منذ 20 سبتمبر ومهاجمًا يؤرشف الإعداد كله بما فيه كلمات مرور الربط والمفاتيح الخاصة، لذا يحتاج الجهاز المكشوف إلى تبديل أسراره أيضًا.
ماذا كان في أرشيف nsconfig؟
بحسب Rapid7: ملف ns.conf بكلمات مرور المسؤولين المشفّرة وكلمات مرور الربط لـLDAP وRADIUS وTACACS، والشهادات والمفاتيح الخاصة، ومفاتيح مضيف SSH، وإعدادات HA.
لا نستخدم SAML. هل نحتاج إصدار أكتوبر؟
تؤثر CVE-2026-88779 فقط في الأجهزة المعدّة كمزوّد خدمة أو مزوّد هوية في SAML. لكن إصدار أكتوبر يحمل إصلاحات سبتمبر أيضًا، فهو أبسط هدف واحد لكل الأجهزة.
