5 دقائق قراءة في 24 سبتمبر، رصدت شركة GreyNoise Intelligence المتخصصة في كشف التهديدات عنوان IP واحدًا مقره الولايات المتحدة يقوم بفحص تثبيتات Citrix NetScaler ويجري هجمات تنفيذ كود عن بُعد (RCE). أصدرت الشركة تنبيهات للعملاء حول النشاط الخبيث.
على مدار اليومين التاليين، ظهرت تقارير عن هجمات محتملة من نوع zero-day على تثبيتات NetScaler على وسائل التواصل الاجتماعي، وناقش محترفو الأمن السيبراني ما إذا كانت الهجمات المزعومة صحيحة - حيث جادل البعض بأن النشاط استهدف ثغرات تم تصحيحها بالفعل في أغسطس. ومع ذلك، في 26 سبتمبر، حث بنيامين هاريس، مؤسس ومدير تنفيذي لشركة watchTowr المتخصصة في إدارة التعرض، مستخدمي NetScaler على إيقاف أنظمتهم. "يوم الاثنين سيكون متأخرًا جدًا"، قال في منشور على LinkedIn.
بحلول يوم الأحد، بدا أن Citrix توافق، حيث نشرت تحديثًا يعالج ثماني ثغرات (CVE-2026-88771 إلى CVE-2026-88778)، بما في ذلك ثغرتين من نوع zero-day تم استغلالهما في البرية. لم توصي التدوينة بإيقاف الخوادم حتى يتم تصحيحها، بل حثت العملاء على "الترقية إلى الإصدارات التي تحتوي على الإصلاح على الفور." ومع ذلك، كانت الثغرتان من نوع zero-day - CVE-2026-88771 و CVE-2026-88772 - تحت استغلال واسع النطاق.
ذات صلة: SWIFT Banking & Government Middleware Enables RCE
استراتيجيتان للإفصاح في عطلة نهاية الأسبوع
في نفس عطلة نهاية الأسبوع، اتبعت مزود حماية البيانات Kiteworks طريقًا مختلفًا. في 25 سبتمبر، أصدرت الشركة توصية للعملاء، تحثهم على اتخاذ إجراءات استباقية بإيقاف أنظمتهم بناءً على معلومات حول هجوم وشيك. مع عمل فريقها الهندسي وخبراء الاستخبارات الوطنية الخارجيين معًا على تحديد المشكلة الأمنية، حذرت الشركة من أن هجوم zero-day قد يكون قادمًا. في يوم الاثنين، نشرت Kiteworks إشعارًا يحدد الثغرة مع تحديث لإصلاحها. في النهاية، حددت الشركة أن الثغرة كانت ستؤثر فقط على 1% من عملائها، كما قالت Kiteworks في بيانها.
"إخبار العملاء بإيقاف أنظمة الإنتاج ليس قرارًا يتخذه أي بائع بسهولة، وكنا نعرف تمامًا ما الذي كنا نطلبه منهم"، قال فرانك بالونيس، المدير التنفيذي للأمن في الشركة، في البيان. "قمنا بذلك على أي حال، لأنه عندما يكون الخيار بين اليقين والراحة، فإن بيانات العملاء ليست شيئًا نحن مستعدون للمخاطرة به. هذا القرار هو ما جعل البقية ممكنة. سنقوم بنفس الاتصال مرة أخرى غدًا لحماية بيانات عملائنا."
تؤثر عناوين IP المكشوفة من Kiteworks على دول في جميع أنحاء العالم ولكنها تتركز في الولايات المتحدة وأوروبا. المصدر: Shadowserver.org
تسلط الطريقتان الضوء على المخاطر التي تواجه البائعين الذين يتخذون تدابير دفاعية عدوانية. تعرضت استجابة Citrix لانتقادات من العديد في مجتمع الأمن السيبراني باعتبارها غير كافية ومتأخرة. لماذا لم تشارك الشركة المعلومات الاستخباراتية في وقت سابق حول الهجمات الواضحة من نوع zero-day؟
ذات صلة: هل منظمتك مستعدة لعصر المساءلة عن الذكاء الاصطناعي في 2027؟
من ناحية أخرى، يمكن اعتبار توصية Kiteworks النادرة بإيقاف الأجهزة مبالغة - خاصة منذ أن كانت 1% فقط من العملاء معرضين للخطر - أو استجابة مناسبة لهجوم محتمل كبير يستهدف عملاءها، العديد منهم وكالات حكومية أو في صناعات منظمة.
كان قرار دعوة العملاء لإيقاف أنظمتهم "مجنونًا"، وفقًا لجون ستراند، مالك شركة Black Hills Information Security، وهي شركة تدريب في الأمن السيبراني واختبار الاختراق. "هذا ليس هجومًا نشطًا - الناس لا يتعرضون للاختراق بشكل نشط - ومع ذلك، فإن البائع يخبر العملاء بإيقاف أنظمتهم"، قال في بيان. "لم أسمع عن أي شيء مثل هذا من قبل. لا يزال يتعين رؤية ما إذا كانت Kiteworks تبالغ في رد فعلها أو ما إذا كانت هذه هي الاستجابة الصحيحة تمامًا، خاصة اعتمادًا على مدى صعوبة نشر التصحيح."
إيقاف التشغيل أم البقاء قيد التشغيل؟
بالنسبة لـ Kiteworks، لم يكن قرار إخبار العملاء بإيقاف أنظمتهم سهلاً، كما قال جوناثان يارون، الرئيس التنفيذي ورئيس Kiteworks، في بيان الشركة. "المعيار الصناعي هو الانتظار حتى الحصول على دليل على هجوم"، قال. "نفضل أن نكون استباقيين بناءً على تحذير موثوق بدلاً من الانتظار حتى نتأكد ونكون متأخرين جدًا. هذا هو المعيار الذي نعتزم الحفاظ عليه."
ذات صلة: تراكم الثغرات الأمنية هو مشكلة ملكية
للأسف، كان لدى محترفي الأمن معلومات أقل حول الهجمات على Citrix NetScaler: تساءل البعض عما إذا كان النشاط الخبيث يستهدف ثغرتين تم تصحيحهما في أغسطس (CVE-2026-19490 و CVE-2026-19489). لم تجب Citrix على أسئلة محددة حول القضية ولكنها أشارت إلى بيانها السابق ونشرة الأمن.
هدفت الشركة إلى "تطوير وإصدار نسخة جديدة من البرنامج تعالج المشكلات على الفور"، كما صرحت Citrix من خلال متحدثها. "نحن دائمًا ننصح العملاء بتبني أحدث إصدار من برنامجنا على الفور، ونحن نؤكد على هذا التوجيه هنا لضمان استفادة عملائنا على الفور من التحديثات في هذا الإصدار الأخير."
حتى بدون إشعار بإيقاف التشغيل من Citrix، كان الموردون وفرق الأمن يخبرون بشكل استباقي مديري NetScaler بإيقاف أجهزتهم، مشيرين إلى تحذير حكومي، وفقًا لساتنام نارنج، مهندس أبحاث كبير في Tenable، التي نشرت إشعارًا حول القضية. "حدثت محادثة الإيقاف في كلا الحالتين - فقط جاءت من أماكن مختلفة"، يقول نارنج.
لا قرارات سهلة للبائعين - أو العملاء
إذا جلبت عطلة نهاية أسبوع أخرى نفس القرار، فلا يزال لا يوجد إجابة واضحة حول الاستراتيجية الصحيحة، كما يقول أندرو طومسون، نائب الرئيس الأول لعمليات الخصوم في GreyNoise. بينما اكتشفت الشركة في البداية النشاط ضد أجهزة NetScaler في 24 سبتمبر، لم يرتبط باحثو GreyNoise في البداية الهجوم بـ CVEs محددة. "إذا كان التحذير المبكر من مصدر موثوق، يجب عليهم التصرف بناءً عليه، [لكن] ما يعتبر إجراءً مقبولًا سيختلف من منظمة إلى أخرى"، يقول طومسون.
يشير نارنج من Tenable إلى أن إيقاف الأنظمة له تكلفة.