سیتریکس وصله امنیتی اضطراری برای آسیب‌پذیری روز-صفر NetScaler منتشر کرد

سیتریکس در تاریخ ۴ اکتبر ۲۰۲۶ یک به‌روزرسانی امنیتی اضطراری برای آسیب‌پذیری جدیدی با شناسه CVE-2026-88779 منتشر کرد. این آسیب‌پذیری از نوع سرریز بافر حافظه در NetScaler ADC و NetScaler Gateway است و امتیاز شدت آن ۸.۷ از ۱۰ ارزیابی شده است.

بر اساس گزارش‌ها، این آسیب‌پذیری در حملات هدفمند واقعی مورد سوءاستفاده قرار گرفته است و سازمان CISA آمریکا آن را به فهرست آسیب‌پذیری‌های شناخته‌شده و در حال بهره‌برداری (KEV) اضافه کرده است.

شرط اصلی آسیب‌پذیری: NetScaler باید به‌عنوان SAML Service Provider یا SAML Identity Provider پیکربندی شده باشد. اگر SAML روی دستگاه شما فعال نیست، این آسیب‌پذیری شما را تهدید نمی‌کند.

نسخه‌های آسیب‌پذیر شامل NetScaler ADC و Gateway ۱۴.۱ قبل از ۱۴.۱-۷۳.۴۱ و ۱۳.۱ قبل از ۱۳.۱-۶۴.۲۸ است. نسخه‌های اصلاح‌شده شامل ۱۴.۱-۷۳.۴۱، ۱۳.۱-۶۴.۲۸، ۱۴.۱-۷۳.۴۱ FIPS و ۱۳.۱-۳۷.۲۸۲ (برای FIPS و NDcPP) است.

نکته حیاتی: سازمان‌هایی که به‌تازگی NetScaler خود را برای رفع آسیب‌پذیری‌های قبلی به‌روزرسانی کرده‌اند، باید مجدداً به‌روزرسانی کنند. نسخه‌های ۱۴.۱-۷۳.۳۷ و ۱۳.۱-۶۴.۲۳ همچنان آسیب‌پذیر هستند.

چرا مهم است؟

۱. حمله در حال وقوع است

این آسیب‌پذیری یک تهدید تئوری نیست. حملات واقعی در حال وقوع است. سیتریکس تأیید کرده که حملات هدفمندی علیه NetScalerهای وصله‌نشده مشاهده شده که منجر به از کار افتادن سرویس می‌شود. اگر شرط حمله به‌طور مکرر فعال شود، سرویس ممکن است برای مدت طولانی غیرقابل دسترس بماند.

۲. نشانه‌هایی از احتمال اجرای کد از راه دور

اگرچه سیتریکس در ابتدا این آسیب‌پذیری را صرفاً یک مشکل Denial of Service معرفی کرد، اما پژوهشگران امنیتی شواهد نگران‌کننده‌ای پیدا کرده‌اند:

• مدیران NetScaler گزارش داده‌اند که دستگاه‌های وصله‌شده به‌طور مکرر ریبوت می‌شوند

• یک مدیر شاهد نام‌های کاربری مخرب حاوی دستورات شل بوده که تلاش می‌کردند یک پیلود را از آدرس IP ۲۱۳.۲۰۹.۱۵۹.۵۵ دانلود و اجرا کنند

• پژوهشگر امنیتی Kevin Beaumont یک هانی‌پات وصله‌شده را شناسایی کرده که یک باینری دانلودشده را اجرا می‌کرد

• آزمایشگاه watchTowr اعلام کرده که ظرف چند ساعت توانسته این آسیب‌پذیری را بازتولید کند

این شواهد نشان می‌دهد که احتمال اجرای کد از راه دور وجود دارد، هرچند سیتریکس هنوز این موضوع را تأیید نکرده است.

۳. مهلت CISA برای سازمان‌های فدرال

CISA سازمان‌های فدرال آمریکا را موظف کرده که تا ۷ اکتبر ۲۰۲۶ این آسیب‌پذیری را رفع کنند. این مهلت کوتاه نشان‌دهنده شدت بالای تهدید است.

۴. تأثیر بر کسب‌وکارها

NetScaler معمولاً در زیرساخت دسترسی از راه دور سازمان‌ها استفاده می‌شود. اگر یک شرکت از NetScaler برای ورود از راه دور کارکنان، دسترسی به اپلیکیشن‌های سازمانی یا احراز هویت مبتنی بر SAML استفاده کند و این دستگاه از کار بیفتد، عملاً دسترسی از راه دور کل سازمان مختل می‌شود.

ستاک چه می‌گوید؟

توصیه فوری برای کسب‌وکارهای یزد:

اگر در سازمان یا شرکت خود از NetScaler ADC یا NetScaler Gateway استفاده می‌کنید، لطفاً همین امروز موارد زیر را بررسی کنید:

۱. بررسی کنید که SAML فعال است یا خیر:

در پیکربندی NetScaler خود به دنبال دستورات add authentication samlAction یا add authentication samlIdPProfile بگردید. اگر این دستورات وجود دارند، دستگاه شما آسیب‌پذیر است و باید فوراً به‌روزرسانی شود.

۲. به‌روزرسانی فوری:

دستگاه را به یکی از نسخه‌های اصلاح‌شده زیر ارتقا دهید: ۱۴.۱-۷۳.۴۱ یا بالاتر، ۱۳.۱-۶۴.۲۸ یا بالاتر، ۱۴.۱-۷۳.۴۱ FIPS، یا ۱۳.۱-۳۷.۲۸۲.

۳. فعال‌سازی Global Deny List:

سیتریکس یک لیست مسدودسازی منتشر کرده که آدرس‌های IP مخرب شناخته‌شده را مسدود می‌کند. این لیست را از طریق NetScaler Console فعال کنید.

۴. پایش لاگ‌ها:

دستگاه‌های NetScaler خود را برای ریبوت‌های مکرر و غیرمنتظره، کرش‌های سرویس nsaaad، فایل‌های ناشناخته و تلاش‌های ورود با نام‌های کاربری غیرعادی بررسی کنید.

۵. اگر از NetScaler استفاده نمی‌کنید:

نگران نباشید. این آسیب‌پذیری فقط بر سازمان‌هایی تأثیر می‌گذارد که از NetScaler با SAML استفاده می‌کنند.

خدمات ستاک در این زمینه:

ستاک آماده ارائه مشاوره امنیتی رایگان برای کسب‌وکارهای یزد است. اگر در سازمان خود از NetScaler استفاده می‌کنید یا مطمئن نیستید که سیستم‌هایتان آسیب‌پذیر هستند، با ما تماس بگیرید تا وضعیت امنیتی زیرساخت شما را بررسی کنیم، نسخه‌های مورد استفاده را بررسی و در صورت نیاز به‌روزرسانی کنیم، پیکربندی امنیتی NetScaler را بازبینی کنیم و در صورت نیاز پشتیبانی اضطراری امنیتی ارائه دهیم.

ستاک، مطمئن‌ترین شریک فناوری اطلاعات در یزد.

پرسش‌های متداول

آیا این آسیب‌پذیری بر همه کاربران NetScaler تأثیر می‌گذارد؟

خیر. فقط NetScalerهایی که به‌عنوان SAML SP یا SAML IdP پیکربندی شده‌اند و از SAML برای احراز هویت استفاده می‌کنند، آسیب‌پذیر هستند.

آیا اگر هفته گذشته NetScaler را به‌روزرسانی کرده‌ام، باز هم در خطر هستم؟

بله. نسخه‌های ۱۴.۱-۷۳.۳۷ و ۱۳.۱-۶۴.۲۳ که برای آسیب‌پذیری‌های قبلی منتشر شده بودند، همچنان در برابر CVE-2026-88779 آسیب‌پذیر هستند. باید به نسخه‌های جدیدتر ارتقا دهید.

آیا این آسیب‌پذیری منجر به سرقت داده می‌شود؟

سیتریکس اعلام کرده که شواهدی از تأثیر بر یکپارچگی داده‌های مشتریان مشاهده نکرده است. اما پژوهشگران شواهدی از احتمال اجرای کد از راه دور پیدا کرده‌اند که در صورت تأیید، می‌تواند بسیار خطرناک‌تر باشد.

مهلت CISA چقدر است؟

CISA از سازمان‌های فدرال خواسته تا ۷ اکتبر ۲۰۲۶ این آسیب‌پذیری را رفع کنند. برای سایر سازمان‌ها نیز توصیه می‌شود بدون تأخیر اقدام کنند.

منابع

• BleepingComputer — Citrix patches NetScaler SAML zero-day exploited in attacks (۴ اکتبر ۲۰۲۶)

• The Hacker News — New NetScaler Zero-Day Exploited in Targeted Attacks Can Knock SAML Deployments Offline (۵ اکتبر ۲۰۲۶)

• ThaiCERT — Citrix Patches NetScaler Zero-Day Vulnerability After Active Exploitation Detected (۵ اکتبر ۲۰۲۶)

• Qualys ThreatProtect — CISA Warns of Citrix Vulnerability Active Exploitation in Attacks (۵ اکتبر ۲۰۲۶)

• Citrix Security Advisory — CTX697174

آیا مطمئن نیستید که سازمان شما در برابر این آسیب‌پذیری آسیب‌پذیر است؟

ستاک آماده است تا رایگان وضعیت امنیتی زیرساخت شما را بررسی کند. همین امروز با ما تماس بگیرید.

تلفن ستاک: 03537250046

وب‌سایت: itsetak.ir

یزد

ستاک، حل مسائل پیچیده فناوری به زبان ساده