חולשה ב-Citrix NetScaler שסווגה כ״השבתה בלבד״ מנוצלת להשתלטות מרחוק
CISA הוסיפה ב-26 באוגוסט את CVE-2026-8452 לרשימת החולשות המנוצלות. Citrix תיארה אותה ביוני כבאג שגורם לקריסה, אבל חוקרי watchTowr הראו שאפשר להריץ דרכה קוד בהרשאות root, ותוקפים כבר משתילים Web Shell.
TL;DR בקצרה
- CVE-2026-8452 תוקנה ב-30 ביוני ותוארה על ידי Citrix כגלישת זיכרון שמובילה להשבתה (DoS).
- ב-14 באוגוסט פרסמה watchTowr ניתוח וקוד הדגמה שמראים הרצת קוד מרחוק בלי הזדהות, בהרשאות root.
- חברות המודיעין Previdian ו-Defused דיווחו על ניצול בפועל, כולל השתלת קבצי Web Shell.
- CISA הוסיפה את החולשה לקטלוג KEV ב-26 באוגוסט. פגיעים רק מכשירים שמוגדרים כ-Gateway או כשרת AAA.
תוקפים מנצלים חולשה במוצרי Citrix NetScaler להשתלטות מרחוק, למרות ש-Citrix תיארה אותה כבאג השבתה. ב-26 באוגוסט 2026 הוסיפה הסוכנות האמריקאית להגנת סייבר, CISA, את CVE-2026-8452 לקטלוג KEV. זו רשימת החולשות שתוקפים כבר מנצלים בפועל.
החולשה פוגעת ב-NetScaler ADC וב-NetScaler Gateway. ביוני תיארה אותה Citrix כבאג שגורם לקריסה ולמניעת שירות. בפועל, תוקפים משתילים דרכה קבצים ומריצים פקודות על המכשיר, בלי להזדהות.
מקריסה להשתלטות: מה גילו ב-watchTowr על Citrix NetScaler
Citrix פרסמה את התיקון ב-30 ביוני, בעלון האבטחה CTX696604. היא תיארה את הבעיה כ״גלישת זיכרון שמובילה להתנהגות בלתי צפויה ולמניעת שירות״. ניסוח כזה גורם לצוותי IT רבים לדחות את העדכון לחלון התחזוקה הבא.
ב-14 באוגוסט פרסמה חברת המחקר watchTowr ניתוח מפורט וקוד הדגמה (PoC). לפי הניתוח, אפשר לנצל את הבאג להרצת קוד מרחוק, בלי שום הזדהות.
לפי watchTowr, הבעיה יושבת בטיפול של NetScaler בחתימות של הודעות SAML. SAML הוא הפרוטוקול שדרכו מערכות מעבירות זו לזו את פרטי ההתחברות של המשתמש. שדה מסוים בהודעה יכול להכיל טקסט ארוך ככל שהתוקף רוצה. הקוד מעתיק אותו לשטח זיכרון בגודל קבוע, בלי לבדוק את האורך.
מכאן הדרך להרצת קוד קצרה. אחת הסיבות: בתהליך הפגיע אין מנגנון ASLR, שבדרך כלל מקשה על ניצול באגים כאלה. התהליך הזה, מנוע עיבוד התעבורה של המכשיר, רץ בהרשאות root. כלומר, שליטה מלאה.
הניצול של Citrix NetScaler התחיל זמן קצר אחרי ההדגמה
לפי SecurityWeek ו-Help Net Security, שתי חברות מודיעין איומים זיהו ניסיונות ניצול. החברות, Previdian ו-Defused, דיווחו עליהם זמן קצר אחרי שהקוד של watchTowr התפרסם.
Previdian תיארה תוקפים שמשתילים קבצי Web Shell בשמות x.php ו-z.php. Web Shell הוא דף שמאפשר לשלוט בשרת דרך הדפדפן. התוקפים הריצו גם פקודות סיור בסיסיות כמו id ו-echo. החברה זיהתה פעילות משלוש כתובות IP בשלוש מדינות שונות. נכון ל-27 באוגוסט, Citrix עוד לא עדכנה את העלון שלה כדי לאשר ניצול בפועל.
CISA הורתה לסוכנויות הפדרליות בארה״ב לטפל בחולשה עד 29 באוגוסט, שלושה ימים בלבד. ההנחיה מחייבת רק את הממשל האמריקאי. אבל ארגונים בכל העולם משתמשים בקטלוג כרשימת עדיפויות. חלון של שלושה ימים הוא סימן ברור לרמת הדחיפות.
זו לא הפעם הראשונה בחודשים האחרונים. לפי SecurityWeek, זו החולשה השנייה ב-NetScaler שתוקפים מנצלים לאחרונה. הראשונה הייתה CVE-2026-8451, באג בסגנון CitrixBleed. תוקפים ניצלו אותה בתוך 24 שעות מהחשיפה הפומבית.
ארגונים רבים משתמשים במכשירי Citrix NetScaler כשער הכניסה לעבודה מרחוק. לכן הם יעד מועדף. מי שמשתלט עליהם יושב בנקודה שדרכה עוברים העובדים והסיסמאות שלהם.
אילו מכשירי Citrix NetScaler בסיכון
לא כל מכשיר NetScaler פגיע. לפי Citrix, הניצול דורש מכשיר שמוגדר כ-Gateway או כשרת וירטואלי מסוג AAA. Gateway כולל, למשל, SSL VPN, ICA Proxy, CVPN או RDP Proxy. watchTowr מוסיפה שהקוד הפגיע נגיש כשהמכשיר מוגדר לעבוד עם SAML. הגרסאות המתוקנות הן 14.1-72.61, 13.1-63.18 ו-13.1-37.272 ומעלה.
מה זה אומר עבורכם
- בדקו גרסה והגדרה: יש לכם NetScaler ADC או Gateway? ודאו שהוא על אחת הגרסאות עם התיקון, או חדשה ממנה. בדקו גם אם מוגדרים עליו Gateway, שרת AAA או SAML.
- אל תסתפקו בעדכון: העדכון סוגר את הפרצה, אבל לא מוחק Web Shell שתוקפים כבר השתילו. חפשו קבצים לא מוכרים, ובפרט x.php ו-z.php. בדקו ביומנים פקודות חריגות מהתקופה שבה המכשיר לא היה מעודכן.
- הניחו שפרטי ההתחברות דלפו: מצאתם סימני פריצה? נתקו סשנים פעילים והחליפו סיסמאות של חשבונות שעברו דרך המכשיר. אחר כך פנו לגורם תגובה לאירועים.
- אל תסמכו על ״רק DoS״: דירוג החומרה הראשוני של יצרן לא תמיד משקף את הסיכון. מכשירי קצה שחשופים לאינטרנט צריכים להתעדכן מהר. זה נכון גם כשהתיאור מתון.
מה לעקוב אחריו
כדאי לבדוק אם Citrix מעדכנת את העלון CTX696604. עדכון כזה יאשר את הניצול ואת היכולת להריץ קוד. כדאי לעקוב גם אחרי סימני זיהוי (IOCs) נוספים. במקביל, קוד ההדגמה הפומבי מוריד את רף הכניסה. לכן מכשירים בלי עדכון יישארו יעד גם בשבועות שאחרי הפרסום.
מקורות והרחבה
- Recent Citrix NetScaler Vulnerability Exploited in the WildSecurityWeek
- CISA Adds Six Known Exploited Vulnerabilities to CatalogCISA
- You're Back In The Room: Citrix NetScaler Pre-Auth RCE (CVE-2026-8452)watchTowr Labs
- Previously patched Citrix NetScaler flaw exploited in the wild (CVE-2026-8452)Help Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
