Citrix دو آسیب‌پذیری روز-صفر NetScaler رو تأیید کرد که به‌طور فعال در سراسر جهان دارن سوءاستفاده می‌شن

شرکت Citrix در ۲۷ سپتامبر تأیید کرد که دو آسیب‌پذیری بحرانی اجرای کد از راه دور در محصولات NetScaler ADC و NetScaler Gateway این شرکت به‌طور فعال در حملاتی در سراسر جهان مورد سوءاستفاده قرار می‌گیرن، و همون روز نسخه‌های پچ‌شده رو منتشر کرد. هر دو آسیب‌پذیری که با شناسه‌های CVE-2026-88771 و CVE-2026-88772 ردیابی می‌شن، امتیاز شدت CVSS v4 معادل ۹.۵ از ۱۰ دارن. سازمان CISA هر دو رو به فهرست آسیب‌پذیری‌های شناخته‌شده‌ی در حال سوءاستفاده اضافه کرد و یه هشدار برای نصب فوری پچ صادر کرد.

این آسیب‌پذیری‌ها ۲۶ سپتامبر برای اولین بار به‌صورت عمومی مطرح شدن، وقتی مدیران NetScaler گزارش دادن که تأمین‌کننده‌ها و محققان امنیتی بهشون گفتن دستگاه‌هاشون رو کاملاً خاموش کنن تا زمانی که یه راه‌حل در دسترس باشه — توصیه‌ای غیرمعمول و صریح که نشون می‌داد قبل از اینکه Citrix پچ رو منتشر کنه، تا چه حد وضعیت بحرانی بوده.

چرا این دو آسیب‌پذیری اینقدر خطرناکن

آسیب‌پذیری CVE-2026-88771 یه اشکال در اعتبارسنجی ورودی هست که به یه مهاجم بدون احراز هویت اجازه می‌ده دستورات دلخواه رو روی دستگاه اجرا کنه. مهم‌تر اینه که این آسیب‌پذیری روی تمام استقرارهای NetScaler ADC و NetScaler Gateway که نسخه‌ی آسیب‌پذیر رو اجرا می‌کنن تأثیر می‌ذاره، از جمله نصب‌هایی که با تنظیمات پیش‌فرض راه‌اندازی شدن — هیچ قابلیت اضافه‌ای نیازی نیست فعال باشه تا دستگاه در معرض خطر قرار بگیره.

آسیب‌پذیری CVE-2026-88772 یه اشکال سرریز حافظه هست که می‌تونه به اجرای کد از راه دور یا حمله‌ی انکار سرویس منجر بشه، ولی فقط وقتی DTLS روی دستگاه فعاله. چون DTLS به‌صورت پیش‌فرض برای سرورهای مجازی VPN روشنه، اکثر قریب به اتفاق استقرارهای واقعی NetScaler Gateway این پیش‌شرط رو دارن، مگه اینکه مدیر سیستم صراحتاً اون رو غیرفعال کرده باشه. هر دو آسیب‌پذیری به‌عنوان بخشی از بولتن امنیتی CTX697096 فاش شدن که در مجموع ۸ آسیب‌پذیری رو پوشش می‌داد.

چرا NetScaler یه هدف پرارزش به حساب میاد

دستگاه‌های NetScaler تقریباً همیشه به‌عنوان دستگاه‌های لبه‌ی رو به اینترنت مستقر می‌شن و در محیط پیرامونی شبکه‌ی سازمانی قرار می‌گیرن تا دسترسی از راه دور و ارائه‌ی اپلیکیشن‌ها رو مدیریت کنن. همین جایگاه دقیقاً همونیه که اونا رو برای مهاجمان جذاب می‌کنه: یه اکسپلویت موفق روی دستگاه‌ای که از اینترنت و بدون نیاز به احراز هویت قابل دسترسی است، به مهاجم یه جای پای اولیه داخل شبکه‌ی سازمانی می‌ده، بدون اینکه نیازی به اعتبارنامه‌های سرقتی یا یه ایمیل فیشینگ باشه. محققان امنیتی که این فاش‌سازی رو بررسی کردن اشاره کردن که این همون دسته از دستگاه‌هاست — سخت‌افزار VPN و ارائه‌ی اپلیکیشن رو به اینترنت — که در چند سال گذشته بارها در نقض‌های بزرگ سازمانی هدف قرار گرفته، دقیقاً به این دلیل که به خطر انداختن دستگاه لبه، اکثر دفاع‌های داخلی یه سازمان رو در یه قدم دور می‌زنه.

سازمان‌ها الان باید چیکار کنن

شرکت Citrix نسخه‌های اصلاح‌شده‌ای منتشر کرده که هر دو آسیب‌پذیری رو پوشش می‌دن. سازمان CISA هم یه مهلت اجباری برای وصله‌کردن سیستم‌ها برای نهادهای فدرال آمریکا تعیین کرده. برای هر سازمانی که NetScaler ADC یا NetScaler Gateway داره، توصیه‌ی عملی محققان امنیتی خیلی صریحه: همین الان وصله بزن، و هر دستگاهی که به اینترنت متصله و هنوز وصله نشده رو به عنوان یه دستگاه احتمالاً پیش از این نفوذ شده در نظر بگیر — چون بهره‌برداری از این آسیب‌پذیری‌ها از قبل از اینکه وصله در دسترس باشه، در محیط واقعی مشاهده شده. سازمان‌هایی که نمی‌تونن فوری وصله بزنن باید فکر کنن که دستگاه‌های آسیب‌دیده رو آفلاین کنن — همون توصیه‌ای که ادمین‌های NetScaler طی پنجره‌ی ۴۸ ساعته بین افشای عمومی آسیب‌پذیری و در دسترس شدن وصله دریافت کردن.