סיטריקס פרסמה תיקון לחולשה בהתקני NetScaler ADC ו-NetScaler Gateway, שערי הגישה שדרכם עובדים מתחברים אל רשת הארגון מבחוץ. תוקף שלא הזדהה כלל יכול לשלוח אל המכשיר בקשות דרך הרשת ולפגוע בזמינות שלו, כלומר להפיל את השירות. סוכנות הסייבר האמריקאית CISA הכניסה את החולשה לקטלוג החולשות המנוצלות ב-4 באוקטובר 2026.
מה החולשה?
התוכנה שמריצה את המכשיר מקצה לעצמה אזורי זיכרון בגודל ידוע מראש לכל פיסת נתונים שהיא מטפלת בה. כשקלט שמגיע מבחוץ גדול או שונה ממה שהרכיב ציפה לו, הוא עלול לקרוא או לכתוב מעבר לגבול האזור שהוקצה, ומשם ההתנהגות של התוכנה כבר אינה צפויה. למשפחת הבאגים הזאת קוראים חריגה מגבולות חוצץ הזיכרון, ובסיווג הרשמי היא מופיעה כ-CWE-119.
מה שמייחד את החולשה הזאת הוא דווקא מה שהיא לא עושה. לפי וקטור ה-CVSS שפורסם, ההשפעה היא על הזמינות בלבד: אין פגיעה בסודיות המידע ואין שינוי שלו. התוקף אינו קורא נתונים מהמכשיר ואינו משנה אותם, אבל הוא יכול לגרום לו להפסיק לתת שירות. הציון שניתן לחולשה הוא 8.7 מתוך 10.
שני פרטים נוספים בוקטור מסבירים למה הציון גבוה כל כך למרות שמדובר בזמינות בלבד. התוקף אינו צריך פרטי אימות, והוא אינו צריך שמישהו בצד השני ילחץ על משהו. די בגישה רשתית אל המכשיר.
מי מושפע?
החולשה נוגעת לשני מוצרים. ב-NetScaler ADC מושפעות הגרסאות שלפני 14.1-73.41, שלפני 13.1-64.28, שלפני 14.1-73.41 FIPS ושלפני 13.1-37.282. ב-NetScaler Gateway מושפעות הגרסאות שלפני 14.1-73.41 ושלפני 13.1-64.28.
אלה אינם מוצרים ביתיים. מדובר בציוד תקשורת ארגוני שיושב בקצה הרשת, והוא נפוץ בישראל בארגונים גדולים שמפעילים גישה מרחוק לעובדים. אם אתם גולשים מהבית, החולשה אינה נוגעת למכשירים שלכם. אם אתם מתחברים לרשת של מקום העבודה דרך שער גישה מרחוק, היא נוגעת למי שמתחזק אותו, ושווה לוודא מולו שהעדכון בוצע.
האם מנוצלת בפועל?
כן. החולשה נמצאת בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, מאז 4 באוקטובר 2026. זה אותו יום שבו הרשומה פורסמה ב-NVD, והוספה לקטלוג ביום הפרסום היא סימן לכך שהניצול כבר נצפה ולא נשאר תיאורטי. המועד שקבעה CISA לגופים הפדרליים לסיים את התיקון הוא 7 באוקטובר 2026, שלושה ימים אחרי ההוספה.
מה עושים?
בדקו קודם איזו גרסה מותקנת על המכשיר, ואז עברו לגרסה שסוגרת את החולשה בענף שלכם. ב-NetScaler ADC אלה 14.1-73.41, 13.1-64.28, 14.1-73.41 FIPS ו-13.1-37.282. ב-NetScaler Gateway אלה 14.1-73.41 ו-13.1-64.28. שימו לב שהענפים 13.1 ו-14.1 מקבלים גרסאות תיקון נפרדות, וקפיצה לענף הלא נכון לא תסגור את החולשה.
ההודעה הרשמית של סיטריקס, CTX697174, מופיעה בקישורים שבמידע הטכני שלמטה ומפרטת את צעדי השדרוג. ומכיוון שהחולשה כבר נוצלה בשטח, אל תסתפקו בשדרוג: עברו על הלוגים של המכשיר ועל הפסקות שירות חריגות מהשבועות האחרונים, ודאו שהעדכון אכן הותקן ולא רק תוזמן.