روب رايت، مدير الأخبار الأول، Dark Reading
29 سبتمبر 2026
4 دقائق قراءة
المصدر: JHVE عبر Shutterstock
كشفت Citrix في 27 سبتمبر عن ثغرتين حرجتين في NetScaler بعد أن تسببت تقارير الاستغلال في إثارة القلق بين العملاء لعدة أيام. CVE-2026-88771 هي ثغرة تنفيذ كود عن بُعد (RCE) بتقييم 9.5 على مقياس CVSS، تنشأ من التحقق غير السليم من المدخلات، بينما CVE-2026-88772 هي ثغرة تدفق الذاكرة، أيضًا بتقييم 9.5 على مقياس CVSS، يمكن أن تؤدي إلى RCE وهجمات حجب الخدمة الموزعة (DDoS). تؤثر كلا الثغرتين على التكوينات الافتراضية لمنتجات Citrix NetScaler Application Delivery Control (ADC) وGetaway.
"تم ملاحظة استغلالات لـ CVE-2026-88771 وCVE-2026-88772 على عمليات نشر NetScaler غير المحمية"، قالت Citrix في إشعارها، الذي حث بشدة العملاء على تحديث برامجهم. ومع ذلك، ظهرت التقارير العامة عن الاستغلال المحتمل لأول مرة على الإنترنت في 25 سبتمبر في موضوع على Reddit، وهناك أدلة إضافية تشير إلى أن الهجمات بدأت "على الأقل منذ أسبوع"، وفقًا لبنجامين هاريس، مؤسس ومدير تنفيذي لشركة watchTowr.
ذات صلة: الوكلاء الذكاء الاصطناعي هم مستخدمون مميزون؛ من يقوم بتدقيق وصولهم؟
انهيارات الاتصالات لهجمات NetScaler
في 25 سبتمبر، لاحظ العديد من مستخدمي Citrix على Reddit أن مزودي خدمات تكنولوجيا المعلومات والفرق الأمنية كانوا يحثونهم على تعطيل أجهزة NetScaler الخاصة بهم. بالإضافة إلى ذلك، نشر أحد مستخدمي Reddit إشعارًا خاصًا مسبقًا من المركز الوطني للأمن السيبراني الهولندي (NCSC-NL) يحذر من هجمات NetScaler المحتملة، لكنه تم حذفه لاحقًا. وفقًا لأسئلة شائعة من Tenable حول نشاط الاستغلال، تم توزيع التنبيه بموجب بروتوكول إشارة المرور (TLP): قيود AMBER+STRICT، التي تحد من مشاركة المعلومات العامة.
في 26 سبتمبر، حذرت watchTowr من هجمات محتملة من نوع zero-day على عملاء NetScaler في منشورات وسائل التواصل الاجتماعي. "نحن نتفاعل حاليًا بسرعة مع الشائعات التي تفيد بأن هناك عدة ثغرات RCE غير مصححة في Citrix NetScaler تتداول في البرية"، قالت الشركة في منشور على X. "بينما التفاصيل نادرة، فإن المعلومات موثوقة."
في وقت لاحق من ذلك اليوم، نشر هاريس على LinkedIn أن الشائعات كانت صحيحة. "بينما التفاصيل نادرة، لقد أكدنا الآن الشائعات مع مصادر موثوقة"، كتب. "يرجى أخذ هذا على محمل الجد وإيقاف تشغيل أجهزة NetScaler على الفور." ومع ذلك، لم تكشف Citrix عن الثغرات حتى اليوم التالي، مع عدة عيوب أخرى في NetScaler، وأصدرت تصحيحات. لكن هاريس يشير إلى أنه، وفقًا لمصادر موثوقة مثل CERTs الوطنية، بدأ الاستغلال على الأقل منذ أسبوع. وبالمثل، قالت GreyNoise في منشور مدونة أمس إنها رصدت الاستغلال لأول مرة في 24 سبتمبر.
ذات صلة: تسليط الضوء على ثغرة Cisco zero-day يبرز مشاكل مصادقة نقاط نهاية API
الارتباك بينما ظلت Citrix صامتة بشأن شائعات zero-day
يأخذ هاريس على عاتق Citrix صمتها بشأن الهجمات المبلغ عنها، مشددًا على أنه في مشهد التهديد السيبراني اليوم مع نوافذ استغلال تتقلص بسرعة، "الساعات مهمة"، ناهيك عن عدة أيام. "ليس من غير المعتاد استغلال الثغرات؛ نرى ذلك مرارًا وتكرارًا"، يخبر Dark Reading. "لكن ما يتم عادةً في تلك الحالات هو أنك تجعل المستخدمين على علم بوجود خطر غير قابل للإدارة حاليًا، وبالطبع أعتقد أن هذا هو ما يثير إحباط الناس اليوم."
كما قال هاريس إن التصحيح الذي حللته فريق watchTowr لتحليل تقني لـ CVE-2026-88771 الذي نُشر أمس كان مؤرخًا في 24 سبتمبر، مما يشير إلى أن Citrix كانت على علم بنشاط الاستغلال الأسبوع الماضي، على الرغم من أن التوقيت غير واضح.
تواصلت Dark Reading مع Citrix للتعليق على متى أصبحت الشركة على علم بنشاط الاستغلال، وكذلك نطاق الهجمات. لم تستجب الشركة المصنعة للبرمجيات لتلك الأسئلة وقدمت البيان التالي: "لقد حددنا مؤخرًا ثغرات حرجة في Citrix NetScaler ADC وCitrix NetScaler Gateway مما جعلنا نطور ونصدر على الفور إصدارًا جديدًا من البرنامج يعالج القضايا. نحن دائمًا ننصح العملاء بتبني أحدث إصدار من برنامجنا بسرعة، ونحن نؤكد على تلك الإرشادات هنا لضمان استفادة عملائنا على الفور من التحديثات في هذا الإصدار الأخير."
ذات صلة: MFA لن تحميك من إساءة استخدام موافقة OAuth
انتقد هاريس Citrix لعدم التعليق على شائعات zero-day، والتي يقول إنها تبدو "تقريبًا متعمدة"، ويقول إن الشركة كان ينبغي أن تتصرف بشكل أسرع لتوفير الوضوح للعملاء حول الوضع. بدلاً من ذلك، وجد مسؤولو NetScaler أنفسهم في مأزق، يعتمدون على هجمات مشاعة ويتجادلون حول ما إذا كان ينبغي عليهم تعطيل أجهزتهم عبر شبكاتهم. "عندما تبدأ الشائعات، لا تدع الناس يهلعون."
المخاطر على عملاء NetScaler
يقول هاريس إن الثغرتين من نوع zero-day تشكلان خطرًا خاصًا على المؤسسات لأنها تؤثر على التكوينات الافتراضية لمنتجات NetScaler وكلاهما سهل الاستغلال. "إذا كانت على الإنترنت، فهي عرضة للخطر"، يقول، مضيفًا أن النجوم توافقت بطريقة لا يمكن أن تكون أسوأ للعملاء.
أولاً، يشير إلى أن NetScaler يستخدم من قبل العديد من المنظمات الكبيرة والشركات، بما في ذلك العديد في مجال البنية التحتية الحرجة، مما يمنح المهاجمين أهدافًا عالية القيمة. "لديك أيضًا مهاجم قادر بوضوح، ولديك مهاجم يمتلك بشكل أساسي مفتاحًا سريًا لكل منظمة تستخدم Citrix NetScaler، وهم في الواقع يستخدمونه"، يقول.
من ناحية أخرى، أفادت Palo Alto Networks أن عمليات الفحص الخاصة بها كشفت عن أكثر من 50,000 حالة NetScaler مكشوفة على الإنترنت. بينما قد يبدو تعطيل جميع أجهزة NetScaler عبر منظمة ما خطوة جذرية، يقول هاريس إنه في هذه الحالة، قد يكون مبررًا. إذا لم تتمكن المنظمات من التحديث إلى إصدارات مصححة من NetScaler ADC وGateway، ينبغي عليها النظر في تعطيل المنتجات.
عن المؤلف
مدير الأخبار الأول، Dark Reading
روب رايت هو مراسل قديم يتمتع بأكثر من 25 عامًا من الخبرة كصحفي تكنولوجيا. قبل انضمامه إلى Dark Reading كمدير أخبار أول، عمل في عدة مؤسسات إعلامية بارزة.