Citrix NetScaler: שלוש פרצות מנוצלות בתוך שבוע, ומי שעדכן צריך לעדכן שוב
Google ו-Mandiant חשפו ב-30 בספטמבר קמפיין שמנצל שתי פרצות קריטיות בשערי ה-VPN של Citrix כבר מתחילת ספטמבר. ב-4 באוקטובר נוספה פרצה שלישית ברכיב ה-SAML, עם גרסה מתוקנת חדשה.
TL;DR בקצרה
- Citrix פרסמה ב-27 בספטמבר תיקון לשתי פרצות קריטיות (ציון 9.5) ב-NetScaler ADC ו-Gateway, שתיהן מנוצלות בפועל ומאפשרות השתלטות בלי סיסמה.
- לפי Mandiant ו-GTIG של Google, הקמפיין פעיל לפחות מתחילת ספטמבר ופגע בגופי ממשל, פיננסים וטכנולוגיה בצפון אמריקה ובאירופה.
- התוקפים השתילו מעטפת ווב בשם WHIPSHOT וכלי מנהור בשם SLAPSHOT, והסתירו אותם בקבצים שמתחזים לרכיבי VPN.
- ב-4 באוקטובר תוקנה פרצה שלישית, CVE-2026-88779 ברכיב ה-SAML, ומי שעדכן ל-14.1-73.37 צריך לעבור ל-14.1-73.41.
מי שמפעיל שער VPN או מאזן עומסים של Citrix הוא יעד למתקפה פעילה. ב-30 בספטמבר פרסמו Mandiant וקבוצת המודיעין של Google (GTIG) דוח טכני על קמפיין תקיפה. הקמפיין מנצל שתי פרצות קריטיות ב-NetScaler ADC וב-NetScaler Gateway. הוא משיג הרשאות root על המכשיר, בלי שם משתמש ובלי סיסמה. ארבעה ימים אחר כך, ב-4 באוקטובר, Citrix שחררה תיקון לפרצה שלישית. התוקפים מנצלים אותה בתקיפות ממוקדות. לכן גם ארגונים שעדכנו בזמן צריכים לעדכן שוב.
הדרך פנימה ב-Citrix: DTLS על פורט UDP 443
Citrix פרסמה ב-27 בספטמבר עלון אבטחה (CTX697096) שמכסה שורה של חולשות. תוקפים כבר ניצלו שתיים מהן בשטח. CVE-2026-88771 היא בעיה בבדיקת קלט שמאפשרת לתוקף לא מזוהה להריץ פקודות. CVE-2026-88772 היא גלישת זיכרון. שתיהן קיבלו ציון חומרה 9.5 מתוך 10. CISA, סוכנות הסייבר האמריקאית, הוסיפה אותן באותו יום לרשימת החולשות המנוצלות שלה.
הדוח של Google מפרט איך נראית התקיפה. התוקפים שולחים למכשיר רשומות DTLS פגומות או מפוצלות דרך פורט UDP 443. זה קורה בשלב לחיצת היד, לפני כל הזדהות. DTLS הוא הגרסה של פרוטוקול ההצפנה TLS שעובדת מעל UDP. הוא פעיל כברירת מחדל בשרתי VPN וירטואליים של NetScaler. התוצאה היא קריסה של מנוע עיבוד המנות של המכשיר. בנוסף, התוקפים מריצים קוד עם הרשאות root על מערכת ההפעלה FreeBSD שמתחת.
לפי החוקרים, הקמפיין פעיל לפחות מתחילת ספטמבר, כלומר כשלושה שבועות לפני שהיה תיקון. הנפגעים, ככל הנראה בצפון אמריקה ובאירופה, הם גופי ממשל ושירותים פיננסיים. בין הנפגעים גם חברות טכנולוגיה, מוסדות חינוך ומשרדי עורכי דין וייעוץ. Google לא ייחסה את התקיפה לקבוצה מסוימת.
מה התוקפים משאירים מאחור
אחרי החדירה התוקפים עורכים שינויים בקובץ ההגדרות של שרת הווב במכשיר. הם גורמים לקבצים עם סיומת .deb לרוץ כקוד PHP. הם גם מפנים בקשות לאייקונים בתיקיית ה-VPN לקבצים עם סיומת .sig. כך הסתירו התוקפים מעטפת ווב בשם WHIPSHOT. היא מקבלת פקודות בקידוד בתוך כותרות HTTP, ומחזירה תגובת 404 כדי לא לעורר חשד.
לצידה התוקפים התקינו את SLAPSHOT, כלי מנהור בפייתון. הכלי הופך את המכשיר לנקודת קפיצה לרשת הפנימית: סריקה, גניבת סיסמאות ומעבר לשרתים אחרים. התוקפים גם הוסיפו הרשאת SUID לקובץ /bin/sh כדי לשמור על root. הם השתמשו גם בכלי למחיקת שורות מהיומנים.
לכן גם Google וגם Sophos מזהירות שעדכון לבדו לא מספיק. מכשיר שנפרץ לפני התיקון יכול להמשיך לשרת את התוקף גם אחרי שהגרסה החדשה הותקנה.
הפרצה השלישית ב-Citrix: SAML, ועדכון נוסף
ב-2 באוקטובר Citrix פרסמה הודעה על ״בעיה חדשה שנצפתה״ במכשירים שמשתמשים בהזדהות SAML. ב-4 באוקטובר היא שחררה תיקון ל-CVE-2026-88779, גלישת זיכרון עם ציון 8.7. החולשה חלה על NetScaler שמוגדר כ-Gateway או כשרת AAA עם SAML. כלומר, מכשיר עם הזדהות יחידה מול ספק זהויות חיצוני.
Citrix מסווגת אותה כמניעת שירות. אבל לפי BleepingComputer, מנהלי מערכות דיווחו על קריסות במכשירים שכבר עודכנו לגרסה 14.1-73.37. המכשירים גם עולים מחדש שוב ושוב. מנהלי המערכות דיווחו גם על ניסיונות להזריק פקודות דרך שדה שם המשתמש. חוקר האבטחה קווין בומונט דיווח שעל אחד ממכשירי הפיתיון שלו רצה נוזקה. אבל הרצת קוד לא אושרה רשמית. CISA הוסיפה גם את החולשה הזו לרשימת החולשות המנוצלות.
המקור המלא: הדיווח ב-Google Threat Intelligence (Mandiant).
מה זה אומר עבורכם
- עדכנו לגרסה של אוקטובר, לא לזו של ספטמבר. בענף 14.1 עברו ל-14.1-73.41. בענף 13.1 עברו ל-13.1-64.28 לפחות. לגרסאות FIPS ו-NDcPP יש בנייה משלהן. בודקים אותה בעלון של Citrix.
- בדקו אם אתם משתמשים ב-SAML. חפשו בהגדרות המכשיר את הפקודות add authentication samlAction או add authentication samlIdPProfile. אם הן קיימות, אתם חשופים לפרצה השלישית.
- חפשו סימני חדירה גם אחרי העדכון. הסימנים הם הרשאת SUID על /bin/sh וקבצי .sig או .deb בתיקיות ה-VPN. סימן נוסף הוא שורות AddHandler או AliasMatch חדשות ב-httpd.conf. בדקו גם את הקבצים /tmp/.uxdport ו-/tmp/.uxdlock. Google פרסמה בדוח פקודות חיפוש וחוקי YARA.
- אם אי אפשר לעדכן מיד. כיבוי DTLS וחסימת UDP 443 בחומת האש מצמצמים את החשיפה ל-CVE-2026-88772 בלבד. הם לא מגינים מ-CVE-2026-88771. זה פתרון זמני, לא תחליף.
- אם יש חשד לפריצה. בודדו את המכשיר ועצרו סנכרון הגדרות בין צמדי HA. אחרי העדכון החליפו את כל הסיסמאות והמפתחות שהמכשיר מחזיק. זה כולל חשבונות שמחברים אותו לשירותים אחרים בארגון.
מה הלאה
זו לא הפעם הראשונה ש-Citrix מתארת חולשה כמניעת שירות. אחר כך מתברר שהיא מאפשרת הרצת קוד. BleepingComputer מזכירה את CVE-2025-6543, שבו בדיוק זה קרה. חברת watchTowr הודיעה שהצליחה לשחזר את הפרצה החדשה אך לא פרסמה פרטים טכניים. ברגע שפרטים כאלה מתפרסמים, הדרך לניצול רחב מתקצרת. לכן כדאי לסיים את העדכון השני ואת בדיקת סימני החדירה לפני כן.
מקורות והרחבה
- Defending Against Active Exploitation of Citrix NetScaler ADC and Gateway AppliancesGoogle Threat Intelligence (Mandiant)
- Citrix patches NetScaler SAML zero-day exploited in attacksBleepingComputer
- Citrix NetScaler CVE-2026-88771 / CVE-2026-88772 in active exploitationSophos
- Hackers Exploit Citrix NetScaler Zero-Day to Gain Root Access and Deploy Web ShellsGBHackers
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
