הרשומה הרשמית של החולשה הזאת קצרה בצורה חריגה: שם המוצר, טווחי גרסאות, וזהו. מה שכן מופיע בה מספיק כדי להבין את החומרה. מדובר בעקיפת אימות ב-NetScaler ADC ו-NetScaler Gateway, הציוד שעומד בכניסה לרשת הארגונית ומטפל בגישה מרחוק, בציון 9.3 מתוך 10. מ-9 בספטמבר 2026 היא מסומנת רשמית כחולשה שתוקפים כבר מנצלים.
מה החולשה?
הסיווג הוא הפרט שאומר כאן הכי הרבה. המערכת כן בודקת מי הפונה, אבל קיימת דרך אחרת להגיע לאותה פונקציונליות שבה הבדיקה הזאת אינה מתבצעת. הדלת הראשית נעולה ומאובטחת, ולצדה יש פתח שאיש לא חשב לנעול. לכשל מהסוג הזה קוראים עקיפת אימות דרך מסלול חלופי.
הווקטור מוסיף את הנתונים היבשים. התקיפה נעשית מהרשת, בלי הרשאות מוקדמות ובלי שמשתמש צריך לעשות דבר, וההשפעה על סודיות, על שלמות ועל זמינות מסומנת כגבוהה בשלושתן. מי שעוקף את האימות מגיע למצב שבו הוא יכול לקרוא, לשנות ולשבש.
מה שאין ברשומה חשוב לא פחות. Citrix לא פרסמה את הפרטים הטכניים של המסלול החלופי הזה, ו-NVD אינה מוסיפה תיאור משלה. אנחנו אומרים את זה במפורש כי זה קובע מה אפשר לטעון: יש כאן סיווג, ציון וטווחי גרסאות, ואין ניתוח של איך הניצול נראה בפועל.
מי מושפע?
לפי הרשומה, NetScaler ADC בענף 14.1 עד בנייה 73.32 ובענף 13.1 עד בנייה 63.21. NetScaler Gateway מושפע באותם טווחים בדיוק.
זהו ציוד תשתית ארגוני ולא תוכנה שמישהו מתקין על המחשב בבית, אבל ההשפעה על אנשים פרטיים אינה תיאורטית. NetScaler Gateway הוא לא פעם השער שדרכו עובדים מתחברים מהבית לרשת של מקום העבודה, ובארץ הציוד הזה נפוץ בארגונים גדולים ובגופים ציבוריים.
ויש כאן קושי מובנה. המכשיר הזה חייב לענות לאינטרנט כדי לעשות את העבודה שלו, ולכן העצה הרגילה של להסתיר את המערכת מאחורי הרשת הפנימית פשוט אינה זמינה כאן.
האם מנוצלת בפועל?
כן, וזה שינוי לעומת מה שהעמוד הזה אמר קודם. ב-9 בספטמבר 2026 הכניסה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע כי תוקפים משתמשים בהן בפועל. כניסה לרשימה הזאת אינה הערכת סיכון אלא קביעה שהניצול כבר נצפה.
המועד שנקבע שם לגופים הפדרליים בארצות הברית הוא 12 בספטמבר, שלושה ימים אחרי הכניסה לרשימה. הוא אינו מחייב אף ארגון בישראל, והוא כן אומר משהו על איך הסוכנות מדרגת את הדחיפות.
מה שעדיין לא פורסם הוא איך הניצול נראה. אין פרטים טכניים פומביים על המסלול החלופי עצמו, ואין ברשומה שם של קבוצה תוקפת או תיאור של היקף. הדבר היחיד שאפשר לומר כאן בלי לנחש הוא שזה קורה.
מה עושים?
בדקו קודם כול על איזו בנייה אתם, והיום ולא בשבוע הבא. הטווחים שברשומה הם 14.1 עד 73.32 ו-13.1 עד 63.21, כך שמכשיר שמריץ בנייה בתוך הטווחים האלה נמצא בפנים, ומכשיר שכבר עבר אותם אינו.
הבניות המתקנות מפורטות בהודעת האבטחה של Citrix, וזה המקום הרשמי שבו הן מתפרסמות. שדרגו לבנייה שמופיעה שם.
אם השדרוג אינו יכול לקרות היום, לפחות דעו מה חשוף. ספרו כמה מכשירי NetScaler יש לכם, מי מהם מוגדר כשער גישה מרחוק וכמה מהם עונים מהאינטרנט הפתוח. המכשיר שנשכח הוא כמעט תמיד זה שנשאר בבנייה ישנה.
ואחרי השדרוג עברו על יומני הגישה. עקיפת אימות משאירה אחריה כניסות שנראות תקינות לגמרי, ולכן מה שמחפשים הוא התחברות שלא מסתדרת: משתמש שנכנס בשעה שבה הוא לא עובד, כתובת שאינה מוכרת, או סשן שנפתח בלי בקשת התחברות שקדמה לו.