דלגו לתוכן
הצטרפו ל-Insider
BREAKING LIVE UPDATES
CYBER WATCH

ב-NetScaler של Citrix נחשפה חולשת דליפת זיכרון, וניסיונות ניצול החלו תוך יומיים

Citrix פרסמה תיקון ל-CVE-2026-8451, חולשה במכשירי NetScaler שמשמשים ספק זהויות SAML. בלי סיסמה אפשר לשאוב מהם קטעי זיכרון, ובשבוע הפרסום כבר נרשמו ניסיונות ניצול.

GKמערכת GEEKLIK 3 דק' קריאה
ב-NetScaler של Citrix נחשפה חולשת דליפת זיכרון, וניסיונות ניצול החלו תוך יומיים

TL;DR בקצרה

  • ב-30 ביוני 2026 פרסמה Citrix את עלון CTX696604 עם תיקון ל-CVE-2026-8451 (ציון CVSS 8.8), בתוך עלון של שישה CVE.
  • החולשה פוגעת רק במכשירי NetScaler ADC ו-Gateway שמשמשים ספק זהויות SAML, והתוקף לא צריך להזדהות.
  • לפי CrowdSec, ניסיונות ניצול ראשונים נרשמו ב-2 ביולי, ו-NHS England העריכה שהם יימשכו.
  • התיקון: גרסה 14.1-72.61 או 13.1-63.18 ומעלה. עד העדכון אפשר להשבית את תפקיד ה-SAML IdP.

Citrix פרסמה ב-30 ביוני 2026 תיקון ל-CVE-2026-8451, חולשה במכשירי NetScaler. היא מאפשרת לשאוב קטעי זיכרון בלי סיסמה. היא פוגעת רק במכשיר שמשמש ספק זהויות SAML. תוך יומיים החלו ניסיונות ניצול ברשת, לפי CrowdSec. חברת המחקר watchTowr, שגילתה את הבאג, רואה בו עוד מקרה במשפחת CitrixBleed. אלה חולשות שמדליפות זיכרון ממכשירי NetScaler.

איך CVE-2026-8451 מדליפה זיכרון ממכשיר NetScaler

NetScaler הוא מכשיר שיושב בשער הארגון ומנהל כניסה מרחוק. אחת האפשרויות בו היא לשמש ספק זהויות (IdP) בפרוטוקול SAML. במצב הזה הוא מאשר למשתמשים כניסה לאפליקציות אחרות.

לפי המחקר של watchTowr, הבעיה יושבת במנתח ה-XML שמטפל בבקשות התחברות בכתובת /saml/login. כשערך של שדה לא מוקף במרכאות ומופיע אחריו מעבר שורה, המנתח לא עוצר. הוא ממשיך לקרוא אל מעבר לסוף הבקשה. בתשובה חוזרים התווים שהוא קרא, בתוך עוגייה בשם NSC_TASS.

הדליפה קטנה. בבדיקות של watchTowr כל בקשה הדליפה כמה בתים בלבד. בחולשה הקודמת, CVE-2026-3055, החוקרים ראו קילובייטים בבקשה. עם זאת, הם זיהו בין הבתים ערך שדומה למצביע זיכרון. הם לא הצליחו לאשר לאן הוא מפנה. לדברי חוקרים, מצביעים כאלה עשויים לעזור לשרשר את הבאג עם פרצה נוספת. כך אפשר להגיע עד הרצת קוד מרחוק. בנוסף, בקשה זדונית מינימלית הקריסה את התהליך nsppe וגרמה להשבתת השירות.

מהמחקר לניסיונות הניצול: ציר הזמן

watchTowr גילתה את הבאג ב-28 במרץ 2026 ודיווחה עליו ל-Citrix באותו יום. ב-7 במאי אמרה Citrix שהתיקון בפיתוח. היא תכננה לפרסם ב-29 ביוני, ואז אמרה שהתיקון עלול להתעכב בכמה ימים. בסוף פרסמה את העלון ב-30 ביוני, ו-watchTowr פרסמה את המחקר באותו יום. במחקר עצמו עוד לא דווח על ניצול.

בהמשך השתנתה התמונה. CrowdSec פרסמה כלל זיהוי ב-1 ביולי, וב-2 ביולי רשמה את ניסיונות הניצול הראשונים. לדבריה, קוד הדגמה פומבי כבר זמין. ברשת שלה זוהו 71 כתובות IP זדוניות ו-424 אותות ניצול בארבעה הימים הראשונים. השיא היה 127 אותות ביום אחד. CrowdSec מתארת פעילות רחבה, אוטומטית ואופורטוניסטית.

גם NHS England פרסמה התראה ב-1 ביולי ועדכנה אותה ב-3 ביולי, כדי לשקף ניצול. לפי ההערכה שלה, המשך הניצול כמעט ודאי. גם הסוכנות לאבטחת סייבר של סינגפור, CSA, פרסמה ב-2 ביולי הנחיה קצרה: לעדכן מיד.

אילו גרסאות פגיעות ל-CVE-2026-8451, ומה נוסף בעלון

הגרסאות הפגיעות הן NetScaler ADC ו-Gateway 14.1 לפני 14.1-72.61, וגם 13.1 לפני 13.1-63.18. במכשירי ADC FIPS הגבול הוא 14.1-72.61 FIPS. במכשירי FIPS ו-NDcPP בגרסה 13.1 הגבול הוא 13.1-37.272.

העלון כולל שישה CVE, לא רק אחד. אחד מהם, CVE-2026-8452, גורם להשבתת שירות כשהמכשיר משמש Gateway או שרת AAA. חולשה אחרת, CVE-2026-10816, מאפשרת קריאת קבצים בלי הזדהות כשממשק הניהול חשוף. חולשה שלישית, CVE-2026-13474, מאפשרת להשבית את המכשיר בבקשות HTTP/2. לפי CSA Singapore, יש להגדיר את הפרמטר Http2SmallWndTimeout על 30 שניות. זה חשוב בעיקר במכשירים בלי פרופיל HTTP קשיח.

עוד ב-GEEKLIK: חולשה ב-Citrix NetScaler שסווגה כ״השבתה בלבד״ מנוצלת להשתלטות מרחוק

מה זה אומר עבורכם

  • בדקו אם יש לכם SAML IdP: רק מכשיר NetScaler שמשמש ספק זהויות SAML חשוף ל-CVE-2026-8451. כדאי להתחיל בו.
  • עדכנו את כל העלון: התקינו 14.1-72.61 או 13.1-63.18 ומעלה, או את גרסת ה-FIPS המתאימה. התיקון מכסה את שישת ה-CVE.
  • אין זמן לעדכן? כבו את ה-IdP: לפי CrowdSec, אפשר להשבית זמנית את תפקיד ה-SAML IdP. הפחיתו גם את החשיפה של ממשקי הניהול לאינטרנט.
  • סרקו את היומנים: חפשו בקשות ל-/saml/login עם שדות לא מסוגרים. לפי מסמך של Cloud Security Alliance, אחרי ניסיון ניצול כדאי להחליף סיסמאות ולנתק חיבורים פעילים.
  • הגדירו HTTP/2: ל-CVE-2026-13474 ההנחיה היא להגדיר Http2SmallWndTimeout על 30 שניות. בדקו שזה נעשה אצלכם.

מה קרה מאז

ב-26 באוגוסט 2026 הוסיפה CISA לקטלוג החולשות המנוצלות את CVE-2026-8452. זו חולשה אחרת מאותו עלון של Citrix. מי שדחה את העדכון של 30 ביוני נשאר חשוף גם לה.

מקורות והרחבה

  1. CitrixBleed To Infinity And Beyond (Citrix NetScaler Pre-Auth Memory Overread CVE-2026-8451)watchTowr
  2. Multiple Vulnerabilities in NetScaler Products (AL-2026-082)CSA Singapore
  3. Active Exploitation of CVE-2026-8451 in Citrix NetScaler ADC and NetScaler GatewayNHS England
  4. CVE-2026-8451: Citrix NetScaler SAML Memory OverreadCrowdSec
  5. CISA Adds Six Known Exploited Vulnerabilities to CatalogCISA

הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.

מצאתם טעות? דווחו לנו
#Citrix #CitrixBleed #NetScaler #SAML #חולשות אבטחה

MORE FROM CYBER WATCH

לכל הכתבות בסייבר ואבטחה