בסוף השבוע שלפני הפרסום, גופי אכיפה וסוכנויות סייבר לאומיות באירופה כבר התקשרו לארגונים אחד-אחד. ה-CVE עצמו נולד רק ב-27 בספטמבר 2026, יחד עם התיקון ועם הציון 9.5. לפי החוקר Kevin Beaumont, המתקפות על שערי NetScaler רצו לאורך כל החודש שקדם לכך.

סקירה כללית

NetScaler ADC ו-NetScaler Gateway הם הקופסה שיושבת בין האינטרנט לרשת הפנימית: איזון עומסים בין שרתים, וגם שער ה-VPN שדרכו העובדים נכנסים מהבית. הודעת האבטחה CTX697096 של Citrix סוגרת שמונה חולשות במכה אחת, ושתיים מהן כבר נוצלו בשטח.

הראשונה, CVE-2026-88771, לא דורשת שום הגדרה מיוחדת. Citrix כותבת שהיא נוגעת לכל התקנה בתצורת ברירת המחדל, ושתוקף שלא הזדהה יכול להריץ עליה פקודות. השנייה, CVE-2026-88772, היא חריגה מגבולות זיכרון שעובדת כאשר ה-DTLS מופעל, וזו ברירת המחדל בשרת VPN וירטואלי. (באוגוסט כבר נוצלה חולשה אחרת ב-NetScaler, ושם התיקון היה קיים מראש.)

מזהה: CVE-2026-88771
סוג: אימות קלט לקוי שמוביל להרצת קוד מרחוק (CWE-20)
מוצר: NetScaler ADC ו-NetScaler Gateway של Citrix
גרסאות מושפעות: ADC לפני 14.1-73.37, לפני 13.1-64.23, לפני 14.1-73.37 FIPS ולפני 13.1.37.279 במהדורות FIPS ו-NDcPP; Gateway לפני 14.1-73.37 ולפני 13.1-64.23
גרסה מתוקנת: 14.1-73.37 או 13.1-64.23
ניצול בפועל: כן, נוספה לקטלוג ה-KEV של CISA ב-27 בספטמבר 2026

ציר זמן

לאורך ספטמבר 2026: לפי Beaumont, מתקפות על שערי NetScaler נמשכות כל החודש
סוף השבוע שלפני ה-27 בספטמבר: ה-NCSC ההולנדי ועמיתיו מיידעים ארגונים בשקט
27 בספטמבר 2026: Citrix מפרסמת את CTX697096 ומשחררת גרסאות מתוקנות, ו-CISA מכניסה את שתי החולשות ל-KEV עם מועד תיקון ב-30 בספטמבר
28 בספטמבר 2026: CISA מנחה לחפש סימני פריצה לפני ההתקנה, כי העדכון עלול למחוק ראיות

איך הניצול עובד

Citrix לא פרסמה את המנגנון, והתיאור ב-NVD מסתכם בשורה אחת. Beaumont ממליץ לחפש בלוגים מחרוזות base64 שמופיעות מיד אחרי שדה ה-User-Agent בלי רווח, ושורות שמכילות את המילה pitboss ואחריה את המחרוזת IFS. IFS הוא משתנה של ה-shell שקובע איך פקודה מתפצלת למילים, ותוקפים נעזרים בו כדי להעביר פקודות בלי לכתוב רווחים. הצירוף מצביע על קלט שמגיע בכותרת HTTP שגרתית, שהמכשיר מפרסר עד שהוא מגיע להרצה כפקודת shell.

Beaumont מדווח שה-webshell שהושתל היה שונה בכל מכשיר, ושהתוקפים הריצו פקודות ניקוי כדי למחוק עקבות.

ניתוח ציון ה-CVSS

ציון CVSS: 9.5

הציון הוא של Citrix עצמה בשיטת CVSS 4.0, ו-NVD עדיין לא פרסמה ניתוח משלה. הוא אומר שהתקיפה מגיעה ברשת, בלי שם משתמש ובלי שמישהו בצד השני ילחץ על כלום, ושהשליטה שהתוקף מקבל חורגת מהמכשיר אל מה שעובר דרכו.

איפה למצוא Proof of Concept (PoC)

אין PoC ציבורי מאומת לאף אחת מהשתיים. ההתייחסות הטכנית השימושית ביותר היא ה-FAQ של watchTowr, שמרכז את הגרסאות המושפעות, את סדר הפעולות לשימור ראיות לפני העדכון, ואת האזהרה שה-IOC-ים הרשמיים לא מכסים כל טכניקה, ולכן סריקה נקייה אינה הוכחה.

הציון 9.5 מתאר כמה קל להיכנס. על השאלה הרלוונטית יותר, מי כבר נכנס במהלך החודש שקדם לתיקון, הוא לא עונה, ומי שהלוגים שלו התגלגלו מאז עלול לא לקבל עליה תשובה בכלל.