جزئیات فنی آسیب‌پذیری روز صفر در محصولات NetScaler
شرکت سیتریکس اعلام کرده است که آسیب‌پذیری روز صفر با شناسه CVE-2026-88779، از نوع سرریز حافظه (Memory Overflow) است و در شرایط خاص می‌تواند در محصولات NetScaler ADC و NetScaler Gateway باعث حمله انکار سرویس (DoS) شود. این آسیب‌پذیری، استقرارهای NetScaler تحت مدیریت مشتری را که از نسخه‌های آسیب‌پذیر و همچنان پشتیبانی‌شده استفاده می‌کنند، به‌شرط فراهم بودن شرایط لازم، تحت تأثیر قرار می‌دهد
برای سوءاستفاده از این آسیب‌پذیری، محصول NetScaler ADC یا NetScaler Gateway باید به‌گونه‌ای پیکربندی شده باشد که نقش ارائه‌دهنده سرویس SAML (SP) یا ارائه‌دهنده هویت SAML (IdP) را ایفا کند. مدیران سامانه می‌توانند با بررسی تنظیمات NetScaler، مشخص کنند که آیا پیکربندی آن‌ها شامل این پیش‌شرط می‌شود یا خیر. برای این منظور، باید وجود یکی از ورودی‌های پیکربندی زیر را بررسی کنند:
- SAML SP – add authentication samlAction
- SAML IdP – add authentication samlIdPProfile
نسخه‌های حاوی پچ امنیتی برای آسیب‌پذیری روز صفر در محصولات NetScaler
شرکت سیتریکس اعلام کرده است که این آسیب‌پذیری روز صفر در نسخه‌های مشخص‌شده زیر برطرف شده است. سازمان‌هایی که از محصولات NetScaler ADC یا NetScaler Gateway استفاده می‌کنند، باید نسخه نصب‌شده را بررسی کرده و در صورت آسیب‌پذیر بودن، آن را به نسخه پچ‌شده یا نسخه جدیدترِ همان شاخه به‌روزرسانی کنند.
- NetScaler ADC و NetScaler Gateway: نسخه 14.1-73.41 و نسخه‌های جدیدتر.
- NetScaler ADC و NetScaler Gateway: نسخه 13.1-64.28 و نسخه‌های جدیدتر از شاخه 13.1.
- NetScaler ADC 14.1-FIPS: نسخه 14.1-73.41 FIPS و نسخه‌های جدیدتر از شاخه 14.1-FIPS.
- NetScaler ADC 13.1-FIPS و 13.1-NDcPP: نسخه 13.1-37.282 و نسخه‌های جدیدتر از شاخه‌های مربوطه.
تأیید حملات هدفمند
گروه Cloud Software Group که مالک شرکت سیتریکس است، از شرکت‌های Bishop Fox و watchTowr به‌دلیل گزارش این آسیب‌پذیری قدردانی کرده است. شرکت watchTowr نیز در پستی در شبکه اجتماعی X اعلام کرد که تنها چند ساعت پس از شناسایی فعالیت در هانی‌پات‌های NetScaler، موفق شده است این آسیب‌پذیری را بازتولید کند. هانی‌پات (Honeypot) یک سامانه امنیتی است که با شبیه‌سازی یک هدف جذاب برای مهاجمان، به شناسایی فعالیت‌های مشکوک و بررسی روش‌ها و تکنیک‌های مورد استفاده آن‌ها کمک می‌کند.
سیتریکس تأیید کرده است که مهاجمان در قالب حملات هدفمند، سامانه‌های پچ نشده NetScaler هدف قرار داده‌اند. به گفته این شرکت، سوءاستفاده از آسیب‌پذیری روز صفر می‌تواند منجر به حمله انکار سرویس (DoS) شود و دسترس‌پذیری سرویس (Service Availability) را مختل کند.
سیتریکس اعلام کرده است که تکرار حملات مبتنی بر این آسیب‌پذیری می‌تواند موجب تداوم اختلال و از دسترس خارج ماندن سرویس شود. تاکنون شواهدی از تأثیر این آسیب‌پذیری بر یکپارچگی داده‌های مشتریان (Data Integrity) مشاهده نشده است.
ضعف امنیتی جدید در سازوکار احراز هویت SAML
انتشار پچ‌های امنیتی جدید پس از آن صورت گرفت که سیتریکس از شناسایی موردی تازه در سازوکار احراز هویت SAML در استقرارهای NetScaler تحت مدیریت مشتریان خبر داد. به گفته این شرکت، این ضعف امنیتی به پیکربندی‌هایی مربوط می‌شود که در آن‌ها احراز هویت SAML در کنار قابلیت‌های گیت‌وی یا AAA استفاده می‌شود. AAA به سه فرآیند احراز هویت (Authentication)، کنترل دسترسی (Authorization) و ثبت و پیگیری فعالیت‌ها (Accounting) اشاره دارد.
این تحولات هم‌زمان با انتشار گزارش‌هایی درباره سوءاستفاده فعال از دو آسیب‌پذیری دیگر در محصولات NetScaler، با شناسه‌های CVE-2026-88771 و CVE-2026-88772 رخ داده است. مهاجمان با سوءاستفاده از این آسیب‌پذیری‌ها، وب‌شل‌ها (Web Shells) و ابزارهای تانلینگ (Tunneling Tools) را روی سامانه‌های هک شده، مستقر کرده‌اند. این دو آسیب‌پذیری با CVE-2026-88779 تفاوت دارند و در حملات جداگانه‌ای مورد سوءاستفاده قرار گرفته‌اند.
در ادامه، آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA)، آسیب‌پذیری روز صفر CVE-2026-88779 را به فهرست KEV اضافه کرد. بر اساس الزامات این نهاد، سازمان‌های فدرال ایالات متحده باید پچ‌های امنیتی مربوطه را حداکثر تا 7 اکتبر 2026 نصب کنند.
