ביום חמישי בערב התחילו מנהלי מערכת לדווח בפורומים שההתקן שמוביל לרשת הארגונית שלהם מאתחל את עצמו בלי סיבה. חלקם כבר התקינו את העדכון האחרון של סיטריקס. אחד מהם פירסם את מה שמצא בלוג ההתחברות: במקום שם משתמש, מישהו שלח פקודות שמורידות קובץ משרת חיצוני.

מה קרה

NetScaler ADC ו-NetScaler Gateway של סיטריקס הם ההתקנים שעובדים עוברים בהם כשהם מתחברים מהבית לרשת של מקום העבודה. הרכיב שמטפל בהתחברות מקבל את שם המשתמש ומעתיק אותו לאזור זיכרון בגודל קבוע, ואם מה שנשלח ארוך ממה שהוקצה לו, הוא דורך על זיכרון ששייך למשהו אחר. לסוג הבאג הזה קוראים חריגה מגבולות חוצץ הזיכרון, buffer overflow. החולשה, CVE-2026-88779, קיבלה ציון חומרה 8.7 מתוך 10, והיא נוגעת רק להתקנים שהוגדרו לעבוד עם SAML, השיטה שמאפשרת להתחבר לכמה מערכות ארגוניות עם חשבון אחד.

סיטריקס כתבה שההשפעה היא על זמינות השירות, ושאם המצב הזה נוצר שוב ושוב השירות עלול להישאר מושבת. היא הוסיפה שלא זיהתה פגיעה בשלמות המידע של הלקוחות. חוקרים שבדקו את הדיווחים מהשטח מתארים תמונה חמורה יותר: חברת watchTowr Labs הצליחה לשחזר את הניצול, והחוקר קווין בומונט דיווח שמלכודת שהפעיל הריצה בפועל את הקובץ הזדוני שהורד אליה, גם אחרי שהתיקון הותקן. סיטריקס עצמה אישרה שהיא רואה מתקפות ממוקדות על התקנים שלא עודכנו.

וכאן הנקודה שחשובה למי שמתחזק את ההתקנים האלה: העדכון הקודם, גרסה 14.1-73.37, לא סגר את החולשה. ביום ראשון בבוקר שחררה סיטריקס גרסאות חדשות, 14.1-73.41 ו-13.1-64.28, וביקשה במפורש ממי שכבר שדרג לשדרג שוב. באותו יום הוסיפה CISA את החולשה לרשימת החולשות שמנוצלות בפועל, והיא דורשת מהרשויות הפדרליות בארצות הברית לסיים את ההתקנה עד 7 באוקטובר. (זאת הפעם השנייה בחודשים האחרונים שסיטריקס מתארת חולשה ברכיב ה-SAML כבעיית זמינות, ואחריה מגיע מחקר שמראה הרצת קוד.)

למה זה חשוב לכם

כמעט אף אחד לא מתקין NetScaler בבית, אבל רבים עוברים בו בלי לדעת. קופות חולים, אוניברסיטאות, בתי חולים וחברות גדולות בישראל מעמידות התקנים כאלה בכניסה לרשת שלהן, וכל התחברות מרחוק של עובד עוברת דרכם. התקן כזה רואה את פרטי האימות של העובדים ומחזיק את הדרך פנימה. תוקף שמשתלט עליו עדיין לא נמצא במסד הנתונים, אבל הוא עומד בדלת, עם ההרשאות של רכיב שכל הארגון סומך עליו.

מה עושים?

מי שאחראי על NetScaler בארגון צריך לבדוק קודם אם SAML מוגדר בו, ואם כן לשדרג לגרסה 14.1-73.41 או 13.1-64.28. מי שהתקין את העדכון הקודם בשבועיים האחרונים צריך לשדרג שוב, כי אותה גרסה לא סוגרת את החולשה.

כדאי לעבור על הלוגים ולחפש את שני הסימנים שדווחו מהשטח: אתחולים שאף אחד לא תכנן, וקריסות חוזרות של התהליך nsaaad. בלוג ההתחברות כדאי לחפש שמות משתמש שנראים כמו פקודות ולא כמו שמות.

לעובדים אין מה להתקין, אבל יש מה לעשות. אם ההתחברות מרחוק למקום העבודה התנהגה מוזר בימים האחרונים, או שהתבקשתם להזין שוב את פרטי ההתחברות בעמוד שלא הכרתם, דווחו ל-IT ואל תניחו שמדובר בתקלה.

והצעד שמשתלם בכל מקרה כזה הוא אימות דו-שלבי בחשבון העבודה. הוא לא מוריד תוקף שכבר יושב על ההתקן, אבל הוא הופך סיסמה שנגנבה משם לשווה פחות.

התקנה של עדכון היא לא תמיד סוף העבודה. לפעמים גם העדכון צריך עדכון.