Citrix תיקנה חולשה ב-NetScaler ADC וב-NetScaler Gateway שמאפשרת לתוקף להריץ קוד על המכשיר או להפיל אותו. הציון הוא 9.5 מתוך 10, והחולשה נוספה ב-27 בספטמבר 2026 לקטלוג החולשות שידוע על ניצול שלהן. הרשומה עצמה קצרה במיוחד, ולכן שווה להיות מדויקים לגבי מה שהיא אומרת ומה שהיא לא.
מה החולשה?
התיאור שפורסם ב-NVD אינו מסביר את המנגנון כלל. מה שכן מופיע הוא סיווג הבאג, CWE-119, כלומר פעולה על אזור זיכרון בלי לשמור על הגבולות שלו. במצב כזה רכיב בתוכנה קורא או כותב מחוץ לשטח שהוקצה לו, ובשטח הסמוך יושבים נתונים אחרים של אותה תוכנה.
מכאן שתי תוצאות אפשריות, ושתיהן מופיעות ברשומה במפורש. או שהתוקף מצליח לנצל את החריגה כדי להשתיל ולהריץ קוד משלו על המכשיר, או שהמכשיר קורס ומפסיק לתת שירות. בשער גישה שכל הארגון עובר דרכו, גם התוצאה השנייה היא תקלה של ממש.
יש כאן פרט אחד שמבדיל את החולשה הזאת מחולשות אחרות באותו ציון: הדירוג מסמן שמורכבות המתקפה גבוהה. הכוונה היא שהניצול דורש מהתוקף יותר מלשלוח בקשה אחת ולחכות לתשובה. זה לא הופך אותה לתיאורטית, והכניסה שלה לקטלוג הניצול הפעיל מראה שזה כבר קרה, אבל זה מסביר למה הציון 9.5 כאן לא אומר שהניצול פשוט.
מי מושפע?
אותם מוצרים ואותן גרסאות. NetScaler ADC בגרסאות שלפני 14.1-73.37 ושלפני 13.1-64.23, כולל מהדורות ה-FIPS, שבהן היעד הוא 14.1-73.37 FIPS ו-13.1.37.279 במהדורות FIPS ו-NDcPP, וכן NetScaler Gateway בגרסאות שלפני 14.1-73.37 ושלפני 13.1-64.23.
הודעת האבטחה של Citrix מכסה שמונה חולשות באותה נשימה, מ-CVE-2026-88771 ועד CVE-2026-88778. למי שמתחזק את המכשיר זה דווקא מקל: עדכון אחד סוגר את כל הרשימה, ואין צורך לבחור בין החולשות.
בבית אין מה לחפש כאן. זה ציוד תקשורת ארגוני, ומי שמושפע בישראל הוא הארגון שמפעיל שער גישה מרחוק, לא העובד שמתחבר דרכו מהלפטופ.
האם מנוצלת בפועל?
כן, וזה מה שהופך רשומה דלה בפרטים לדחופה. ב-27 בספטמבר 2026 הכניסה CISA את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע שתוקפים מנצלים בשטח, וקבעה לרשויות הפדרליות מועד תיקון של 30 בספטמבר 2026.
הקטלוג לא מפרט מי תוקף, באיזו דרך, או כמה נפוץ הניצול. הוא אומר דבר אחד: מישהו ראה את זה קורה.
מה עושים?
שדרגו את המכשיר ל-14.1-73.37 או ל-13.1-64.23, לפי הענף שלכם. במהדורות FIPS היעד הוא 14.1-73.37 FIPS בענף 14.1, ו-13.1.37.279 בענף 13.1, גם ב-FIPS וגם ב-NDcPP.
הודעת האבטחה של Citrix היא המקור לגרסאות האלה, והיא מטפלת בכל שמונה החולשות שפורסמו יחד. כשמגדירים את חלון התחזוקה, כדאי להתייחס לכל השמונה כאל עבודה אחת.
ואם המכשיר חשוף לאינטרנט, קבעו את השדרוג לימים הקרובים ולא לסבב התחזוקה הבא. מועד היעד שנקבע בארצות הברית, שלושה ימים מהפרסום, הוא האומדן הזמין הטוב ביותר לכמה זמן סביר להניח שיש.