Citrix פרסמה תיקון לחולשה ב-NetScaler ADC וב-NetScaler Gateway שמאפשרת לתוקף שלא הזדהה כלל להריץ פקודות על המכשיר. הציון הוא 9.5 מתוך 10 בשיטת CVSS 4.0, והחולשה נכנסה לקטלוג החולשות שידוע על ניצול שלהן בשטח באותו יום שבו הרשומה פורסמה. הגרסאות שסוגרות אותה הן 14.1-73.37 ו-13.1-64.23.

מה החולשה?

המכשיר מקבל קלט מהרשת ולא בודק אותו כראוי לפני שהוא ממשיך לטפל בו. תוקף שמנסח את הקלט בצורה מסוימת מצליח לגרום למכשיר להריץ פקודות שהוא שלח, במקום להתייחס אליהן כאל נתונים בלבד. לסוג הבאג הזה קוראים אימות קלט לקוי, והוא מסומן ברשומה כ-CWE-20.

מה שמייחד את החולשה הזאת הוא מה שלא צריך כדי לנצל אותה. לפי הדירוג, אין צורך בשם משתמש ובסיסמה, אין צורך בהרשאה כלשהי על המכשיר, ואין צורך שמישהו בצד השני ילחץ על משהו. התוקף פונה אל המכשיר מהרשת וזה מספיק. הדירוג כן מסמן שקיים תנאי מוקדם מסוים לניצול, בלי לפרט מהו.

הדירוג גם מסמן פגיעה גבוהה בסודיות, בשלמות ובזמינות, וגם במערכות שמעבר למכשיר עצמו. במוצר שכל תפקידו לעמוד בין האינטרנט לרשת הפנימית זו האבחנה המעניינת: מי ששולט בשער רואה ומשנה את מה שעובר בו.

מי מושפע?

החולשה נוגעת ל-NetScaler ADC ול-NetScaler Gateway. Citrix מונה את הגרסאות שלפני 14.1-73.37 ואת אלה שלפני 13.1-64.23, וגם את מהדורות ה-FIPS: 14.1-73.37 FIPS, ו-13.1.37.279 במהדורות FIPS ו-NDcPP.

זה לא ציוד שנמצא בבית. בישראל מדובר במוצר שמותקן בארגונים ובגופים ציבוריים, בתפקיד של שער גישה מרחוק ושל איזון עומסים בין שרתים, ולכן הגולש הפרטי לא צריך לעשות כאן דבר. מי שכן צריך הוא מי שמתחזק שער כזה, ובמיוחד אם הוא חשוף לאינטרנט.

האם מנוצלת בפועל?

כן. ב-27 בספטמבר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. CISA קבעה לרשויות הפדרליות בארצות הברית מועד תיקון של 30 בספטמבר 2026.

שלושה ימים הם מועד קצר במיוחד גם ביחס לקטלוג הזה, והוא עצמו מידע: הוא נשמר למקרים שבהם הניצול נחשב מיידי ולא איום עתידי.

מה עושים?

עדכנו את ה-NetScaler לגרסה 14.1-73.37 או ל-13.1-64.23, לפי הענף שאתם נמצאים בו. במהדורת FIPS של ענף 14.1 היעד הוא 14.1-73.37 FIPS, ובענף 13.1 הוא 13.1.37.279, גם במהדורת FIPS וגם במהדורת NDcPP. הגרסאות והוראות השדרוג נמצאות בהודעת האבטחה של Citrix.

אם אתם לא יודעים באיזו גרסה אתם, זה הדבר הראשון לבדוק, לפני כל שיקול של תיאום חלון תחזוקה.

מכיוון שהחולשה כבר מנוצלת ומדובר בשער שחשוף כלפי חוץ, אל תעצרו בשדרוג עצמו. קראו את הודעת היצרן עד הסוף ובדקו אם היא מפרטת צעדים נוספים למכשיר שהיה חשוף לפני העדכון.

ובמקביל, בדקו מי יכול בכלל להגיע מהאינטרנט לממשק הניהול של המכשיר. ממשק ניהול שנגיש רק מהרשת הפנימית מצמצם את מספר מי שיכול לשלוח אליו בקשה כלשהי.