Citrix در یک هفته دو بولتن امنیتی برای NetScaler منتشر کرد. CTX697096 در ۵ مهر ۱۴۰۵ (۲۷ سپتامبر ۲۰۲۶) هشت نقص را در NetScaler ADC و NetScaler Gateway وصله کرد. دو مورد امتیاز ۹٫۵ در CVSS v4 گرفته‌اند: CVE-2026-88771، اجرای کد از راه دور بدون احراز هویت در پیکربندی پیش‌فرض، و CVE-2026-88772، سرریز حافظه‌ای که به DTLS نیاز دارد و DTLS روی VPN virtual serverها به‌طور پیش‌فرض روشن است. خود Citrix می‌گوید بهرهبرداری از هر دو «روی استقرارهای بدون اقدام کاهشی» دیده شده است. CTX697174 در ۱۱ مهر (۳ اکتبر) با CVE-2026-88779 (امتیاز ۸٫۷) آمد که از کار انداختن سرویس در پردازش SAML است. طبق داده‌های KEV در CISA، دو مورد اول ۲۷ سپتامبر و مورد سوم ۴ اکتبر به فهرست آسیب‌پذیری‌های در حال بهرهبرداری اضافه شدند.
بیشتر خبرها همین‌جا با «فوراً وصله کنید» تمام می‌شوند. بخشی که بعد از وصله مهم است در تحلیل Rapid7 آمده: در یکی از دو نفوذی که بررسی کرده، مهاجم کاری کرد که دستگاه کل پیکربندی خودش را در فایلی بسته‌بندی کند که هر کسی می‌توانست دانلودش کند.
کدام نسخه را نصب کنیم
نسخه‌های ۳ اکتبر وصلههای سپتامبر را هم دارند، پس مستقیم سراغ آنها بروید. طبق CTX697174:
| شاخه | نسخه اصلاح‌شده یا بالاتر |
|---|---|
| 14.1 | 14.1-73.41 |
| 13.1 | 13.1-64.28 |
| 14.1 FIPS | 14.1-73.41 FIPS |
| 13.1 FIPS و NDcPP | 13.1-37.282 |
CVE-2026-88779 فقط وقتی مطرح است که دستگاه نقش SAML SP یا IdP داشته باشد. Citrix پیشنهاد می‌کند در پیکربندی دنبال add authentication samlAction یا add authentication samlIdPProfile بگردید. حتی اگر هیچ‌کدام را پیدا نکردید نسخه جدیدتر را نصب کنید، چون وصلههای 88771 و 88772 را هم دارد. نمونه‌های NetScaler که خود مشتری در استقرار ترکیبی Secure Private Access مدیریت می‌کند هم باید به‌روز شوند. سرویس‌های ابری که Citrix مدیریت می‌کند اقدامی لازم ندارند.
مهاجم چه چیزی را بسته‌بندی کرد
Rapid7 اولین تلاش برای بهرهبرداری را ۲۰ سپتامبر ۲۰۲۶ ساعت ۱۴:۲۸ به وقت UTC دیده، یعنی یک هفته پیش از بولتن. در نفوذ اول، payload با tar از /flash/nsconfig آرشیو گرفت و آن را در /var/netscaler/gui/vpn/c نوشت. به گفته Rapid7 این فایل از نشانی https://<gateway>/vpn/c بدون ورود در دسترس بود. در سازمان دوم یک webshell پیدا شد که ۲۴ سپتامبر در مسیر /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver دیده شده بود.
به نوشته Rapid7 این آرشیو شامل ns.conf با رمزهای رمزنگاریشده nsroot و دیگر حساب‌های مدیر، رمز اتصال (bind) به LDAP و RADIUS و TACACS، پوشه ssl/ با گواهیها و کلیدهای خصوصی، کلیدهای میزبان SSH و تنظیمات همگام‌سازی HA است. Rapid7 نمی‌گوید آرشیو دانلود شده است. لازم هم نیست بگوید. اگر آن فایل روی یک نشانی عمومی در gateway شما بوده، نمی‌توانید ثابت کنید کسی برش نداشته است.
وصله، فایل لورفته را برنمی‌گرداند
بهروزرسانی حفره را می‌بندد، اما برای رمز اتصالی که حالا روی دیسک کس دیگری است کاری نمی‌کند. اگر gateway شما بین ۲۰ سپتامبر و روز وصله روی نسخه آسیبپذیر بوده و از اینترنت دیده می‌شده، رازهای آن را لورفته فرض کنید. راهنمای خود Citrix برای دستگاه مشکوک به نفوذ (CTX694799) فهرست تغییرات را دارد و ترتیب زیر از آن پیروی می‌کند:
- اول دنبال دو فایل بالا بگردید. اگر
/var/netscaler/gui/vpn/cیا.ctxs.receiverوجود دارد، با یک رخداد امنیتی سروکار دارید، نه یک پنجره نگهداری. CTX694799 را کامل اجرا کنید، از جمله بازسازی از نسخه پشتیبان سالم. - حساب‌های سرویسی که NetScaler با آنها bind می‌کند را روی سامانه‌های صاحبشان عوض کنید: حساب bind در LDAP، رازهای مشترک RADIUS، کلیدهای TACACS، و هر توکن OAuth، کلید API و community string در SNMP.
- هر گواهی‌ای که کلید خصوصی‌اش روی دستگاه بوده را باطل و دوباره صادر کنید، از گواهی عمومی gateway شروع کنید.
- همه رمزهای محلی NetScaler را عوض کنید، اول nsroot. اگر از پشتیبان بازیابی کرده‌اید، طبق CTX694799 کلیدهای رمزگذاری کلید (KEK) را هم بچرخانید.
- رمز کاربرانی که در بازه در معرض بودن از راه Gateway یا AAA وارد شده‌اند را بازنشانی کنید و نشست‌های باز را ببندید.
حساب bind در LDAP همانی است که فراموش می‌شود. معمولاً به کل دایرکتوری دسترسی خواندن دارد و کسی یادش نیست کدام سامانه‌های دیگر هم از آن استفاده می‌کنند. چرخاندن آن حتماً چیزی را از کار می‌اندازد، پس فهرست آن سامانه‌ها را پیش از تغییر رمز درآورید، نه وقتی تلفن‌ها زنگ زدند.
همین نکته را درباره میز خدمت بعد از نقص‌های روز صفر Zammad در DIVD هم گفتیم: سامانه لبه‌ای که رازهای یکپارچه‌سازی را نگه می‌دارد یک دسته‌کلید است و رفع باگ کلیدها را پس نمی‌آورد. نشست دزدیده‌شده در سطح کاربر هم همین‌طور عمل می‌کند و برای همین آمار فیشینگ AiTM در گزارش دفاع دیجیتال مایکروسافت کنار این موضوع خواندنی است.
اگر gateway تیم‌های دیگر را اداره می‌کنید
شرکت‌های خدمات مدیریت‌شده و واحدهای فناوری مرکزی که gateway چند بخش سازمان را نگه می‌دارند، می‌توانند کار را با یک سؤال برای هر دستگاه مرتب کنند: روی کدام نسخه بود و در چه تاریخی ارتقا گرفت؟ همین تاریخ، در مقایسه با ۲۰ سپتامبر، تعیین می‌کند کار شما وصله است یا چرخاندن رازها. اگر برای چرخاندن رازها یا انتقال آنها از پیکربندی دستگاه به vault کمک می‌خواهید، تیم زیرساخت فنپینو این کار را انجام میدهد.
پرسش‌های متداول
کدام نسخه‌های NetScaler هر سه CVE در حال بهرهبرداری را می‌بندند؟
14.1-73.41، 13.1-64.28، 14.1-73.41 FIPS، و 13.1-37.282 برای 13.1 FIPS و NDcPP، یا بالاتر. این فهرست از CTX697174 است و وصلههای CTX697096 را هم در بر دارد.
آیا بهروزرسانی کافی است؟
فقط اگر دستگاه هرگز روی نسخه آسیبپذیر در معرض اینترنت نبوده باشد. Rapid7 بهرهبرداری از ۲۰ سپتامبر و آرشیو شدن کل پیکربندی، از جمله رمزهای bind و کلیدهای خصوصی، را دیده است؛ پس دستگاه در معرض بوده باید رازهایش را هم بچرخاند.
در آرشیو nsconfig چه بود؟
به نوشته Rapid7: ns.conf با رمزهای رمزنگاریشده مدیران و رمزهای bind برای LDAP و RADIUS و TACACS، گواهیها و کلیدهای خصوصی، کلیدهای میزبان SSH و تنظیمات HA.
ما از SAML استفاده نمیکنیم. باز هم نسخه اکتبر لازم است؟
CVE-2026-88779 فقط دستگاههایی را که نقش SAML SP یا IdP دارند تحت تأثیر قرار میدهد. اما نسخه اکتبر وصلههای سپتامبر را هم دارد، پس سادهترین هدف واحد برای همه دستگاههاست.
