ביום שישי כמה מנהלי רשת קיבלו טלפון מצוות האבטחה של ספק ה-IT שלהם, עם הוראה אחת ובלי הסבר: לכבות עכשיו את שרתי ה-NetScaler. לפי The Hacker News, שקרא שרשור בפורום r/Citrix, מנהל שתיאר שם את השיחה כתב שלא נמסרו לו פרטים, ומשתתפים אחרים סיפרו שגם בארגון שלהם כיבו. באותו יום פרסמה חברת המחקר watchTowr שהיא מגיבה לשמועות על חולשות הרצת קוד מרחוק ב-Citrix NetScaler שמסתובבות בטבע. "הפרטים דלים, אבל המידע אמין", כתבה.

בפוסט המשך, שאת תוכנו תיעד אותו דיווח, נמסרה תמונה מלאה יותר: שתי חולשות, שתיהן הרצת קוד מרחוק, שתיהן בלי תיקון, ושתיהן נוצלו עוד לפני שהיה תיקון כלשהו. לפי אותו דיווח הן התגלו בחקירות פורנזיות, והודעות ועדכונים מ-Citrix צפויים בתחילת השבוע. נכון לבוקר יום ראשון Citrix לא אישרה, לא הכחישה ולא פרסמה דבר. בהמשך נעבור על מה שידוע ומה שלא, נראה מתוך מחקר שכן פורסם איך נראית דרך פנימה לקופסה הזאת, ונגיע לשאלה שהיא באמת הקשה כאן, שאינה מתי יגיע העדכון.

מה נמסר, ומה לא

שווה להיות מדויקים לגבי גודל הידיעה. אין מספרי CVE לשתי החולשות החדשות, אין סימני זיהוי שאפשר לחפש בלוגים, לא פורסמה ראיה אחת, לא הוזכר קורבן, ו-watchTowr גם לא אמרה של מי היו החקירות הפורנזיות שבהן הדברים צצו. מה שיש הוא הערכה של חברה אחת, שמצהירה בעצמה שהיא מגיבה לשמועות שהיא מאמינה להן.

זה גם לא אותו סיפור כמו החולשה שכבר תוקנה. ב-19 באוגוסט פרסמה Citrix את עדכון האבטחה CTX696939 שסגר את CVE-2026-19490, עקיפת אימות בציון CVSS v4 של 9.3 שרלוונטית למכשירים שמוגדרים כ-Gateway או כשרת AAA וירטואלי, ואת CVE-2026-19489 בציון 8.8. CISA הוסיפה את הראשונה לקטלוג החולשות המנוצלות הידועות ב-9 בספטמבר, עם תאריך יעד לטיפול ב-12 בספטמבר ועם סימון שדורש טריאז' פורנזי ולא רק התקנת עדכון. הגרסאות המתוקנות שם הן 14.1-73.32 ו-13.1-63.21. Citrix לא אמרה אם מכשירים שכבר יושבים על הגרסאות האלה חשופים לחולשות החדשות.

למה דווקא הקופסה הזאת

NetScaler ADC ו-NetScaler Gateway יושבים בקצה הרשת הארגונית, ושם הם עושים כמעט הכול: VPN וגישה מרחוק, איזון עומסים, פריקת SSL, ואימות משתמשים. המכשיר הזה הוא הדלת הקדמית, והוא בהגדרה חשוף לאינטרנט כי זו כל מטרתו. תוקף שמגיע להרצת קוד עליו לא רק נכנס לרשת, הוא נוחת בדיוק במקום שדרכו עוברים פרטי האימות של כל מי שמתחבר מבחוץ.

זו גם לא הפעם הראשונה השנה. watchTowr לבדה פרסמה על NetScaler ביוני מחקר על קריאת זיכרון מעבר לגבול לפני אימות, ובאוגוסט מחקר נוסף שהוא הרלוונטי לנו כאן. הרצף הזה הוא חלק מהתשובה לשאלה למה ספקי IT התקשרו לכבות במקום להמתין לבולטין.

איך נראית דרך פנימה

המחקר מאוגוסט שפרסמה watchTowr, בחתימת החוקר Sina Kheirkhah, לא עוסק בחולשות של סוף השבוע. הוא כן מראה בפירוט איך נראית חולשה מהסוג הזה ב-NetScaler, וזה ההסבר הטוב ביותר שיש כרגע לכך שמנהלים מכבים מכשירים.

הרעיון מתחיל במקום צפוי למדי. כשמגיעה למכשיר הודעת התחברות חתומה, הוא צריך לוודא שהחתימה אמיתית. הבעיה היא שאותו מסמך XML אפשר לכתוב בכמה צורות שונות שמשמעותן זהה, עם רווחים נוספים, סדר אחר של תכונות או שורות חדשות, ואילו חתימה היא חשבון מתמטי על בייטים מדויקים. לכן לפני החישוב שני הצדדים מסדרים את הקטע לצורה תקנית אחת, וכך הם מגיעים לאותם בייטים בדיוק. לשלב הניקוי הזה קוראים קנוניקליזציה, והוא דורש להעתיק את הטקסט המסודר לחוצץ בגודל קבוע בזיכרון.

כאן נכנס לתמונה הפרט שהחוקרים חיפשו: איזה חלק בהודעה התוקף יכול להגדיל כרצונו. רוב השדות בקטע החתום נבדקים או מוגבלים לערכים קבועים, ואחד לא. מדובר ברשימת קידומות שהשולח בוחר בעצמו, שהמגבלה היחידה עליה היא שכל ערך יהיה ייחודי. שליחה של רשימה ארוכה מספיק גורמת להעתקה לחרוג מהחוצץ ולדרוס מבני נתונים סמוכים של מנוע עיבוד החבילות של המכשיר. לפי watchTowr, החולשה ניתנת להשגה כשהמכשיר מוגדר להשתמש ב-SAML, וגרסאות התיקון שהיא מציינת הן 14.1-72.61 ו-13.1-63.18.

ראוי לסייג: החברה כותבת במפורש שהיא מעריכה שמדובר ב-CVE-2026-8452 לפי התיאור בבולטין, אך ש-Citrix אינה מקשרת בין מספרי CVE לחוקרים המצוינים בו, כך שהזיהוי אינו ודאי. בין החוקרים שקיבלו קרדיט על אותו בולטין נמנה Michael Tucker מצוות XOR של JPMorgan Chase.

מהצפה בזיכרון לשליטה מלאה

הצפת חוצץ היא לא עדיין הרצת קוד, ובדרך כלל המרחק ביניהן גדול. במקרה הזה הוא התברר כקצר, וזה החלק שמסביר את חומרת ההערכה.

הקריסה הראשונה שהחוקרים קיבלו לא התרחשה במקום שבו נכתב יותר מדי מידע, אלא הרבה אחר כך, כשהמכשיר משך בחזרה לשימוש בלוק זיכרון שהמידע שלהם כבר דרס את המטא-נתונים שלו. משם הם עקבו אחורה ומצאו שאותם ערכים דרוסים מזינים פעולת העתקה שבה גם יעד הכתיבה וגם המקור נשלטים על ידי התוקף. במילים אחרות, כתיבה של מה שרוצים לאן שרוצים.

מה שהפך את זה למסוכן במיוחד הוא מצב ההגנות על התהליך עצמו. לפי המחקר, אזור הזיכרון הדינמי במכשיר ניתן להרצה, אין ערבול אקראי של כתובות, וכתובת הנתונים חוזרת על עצמה בכל הפעלה חדשה של התהליך. בצירוף כזה, דריסה של מצביע פונקציה אחד שהמכשיר קורא לו באופן שגרתי מספיקה כדי להסיט את זרימת ההרצה לאן שהתוקף בחר. מנוע עיבוד החבילות רץ בהרשאות root, ולכן גם הקוד שמושתל רץ כך.

נותרה בעיה מעשית אחת, ודווקא היא מלמדת הרבה. בכל פעם שהמנוע קורס, תהליך פיקוח במכשיר מזהה זאת ומאתחל את כל המערכת, מה שמוחק כל קובץ שהושתל. החוקרים פתרו את זה בכך שנטרלו את מנגנון הדיווח על הקריסה, וכך תהליך הפיקוח הסתפק בהפעלה מחדש של המנוע בלבד. השתילה שרדה.

למה עדכון לא עונה על השאלה הנכונה

אם התיאור של watchTowr נכון והניצול קדם לקיומו של תיקון, אז התקנת התיקון, כשיגיע, לא תגלה לאף מנהל אם מישהו כבר נכנס קודם. זו לא תיאוריה. באוגוסט 2025, אחרי שחולשה ב-NetScaler נוצלה כיום-אפס נגד ארגונים הולנדיים, קבע מרכז הסייבר הלאומי של הולנד בעדכון שפרסם שמספר ארגונים קריטיים במדינה הותקפו בהצלחה, שהתוקפים מחקו באופן פעיל עקבות כדי להסתיר את הפריצה, ושעדכון המערכות אינו מספיק כדי להסיר את הסיכון לניצול.

ההנחיה הקיימת של Citrix למי שחושד שה-NetScaler שלו נפרץ בנויה לפי אותו היגיון. היא מבקשת קודם כול לשמר ראיות, בין השאר תצלום מצב של המכשיר, הלוגים ששמורים בשרתי syslog מרוחקים ובקונסולה, וחבילת תמיכה טכנית. רק אחר כך מגיעים בידוד המכשיר מהרשת, החלפה של כל סיסמה וסוד שמאוחסנים עליו, איפוס הסיסמאות של מי שהתחבר דרכו, וביטול התעודות והמפתחות הפרטיים שלו. ההנחיה גם קובעת שממשק הניהול של NetScaler לעולם לא אמור להיות חשוף לאינטרנט הציבורי.

מה זה אומר בפועל

מי שמפעיל NetScaler ADC או Gateway עומד כרגע בפני החלטה בלי בולטין להישען עליו: להשאיר מקוון, לבודד, או לכבות. בהיעדר סימני זיהוי לחולשות החדשות אין דרך לחפש ניצול ספציפי, אבל יש דברים שאינם תלויים בפרסום של Citrix. ודאו שממשק הניהול אינו נגיש מהאינטרנט, שהלוגים נשלחים ליעד חיצוני שנשאר שלם גם אם המכשיר מאותחל, ושמי שעדיין לא התקין את העדכון מ-19 באוגוסט עושה זאת. אם החלטתם לטפל במכשיר כחשוד, סדר הפעולות בהנחיה של Citrix מתחיל בשימור ראיות דווקא משום שאתחול או שדרוג מוחקים בדיוק את מה שתצטרכו אחר כך.