هشدار: بهره‌برداری فعال از دو آسیب‌پذیری روز-صفر RCE در Citrix NetScaler و انتشار وصله اضطراری

در صبح روز ۲۵ سپتامبر ۲۰۲۶، مدیران سیستم در انجمن‌های ردیت شروع به اشتراک‌گذاری یک هشدار محرمانه از سوی مرکز ملی امنیت سایبری هلند (NCSC-NL) کردند: تجهیزات Citrix NetScaler خود را فورا خاموش کنید. آنچه به عنوان یک شایعه و توصیه به خاموشی آغاز شد، به سرعت به یک بحران تایید شده تبدیل گردید. تا روز ۲۷ سپتامبر، شرکت سیتریکس رسما تایید کرد که دو آسیب‌پذیری روز-صفر (Zero-Day) با امکان اجرای کد از راه دور (RCE) در حال بهره‌برداری فعال در دنیای واقعی هستند.[1][2]

این دو آسیب‌پذیری که اکنون با شناسه‌های CVE-2026-88771 و CVE-2026-88772 ردیابی می‌شوند، هر دو دارای امتیاز بحرانی ۹.۵ از ۱۰ در سیستم CVSS v4.0 هستند. سیتریکس در بولتن امنیتی خود اعلام کرد که این نقص‌ها به مهاجمان احراز هویت نشده اجازه می‌دهند تا کدهای مخرب خود را مستقیما روی تجهیزات اجرا کنند. این شرکت بدون ارائه جزئیات درباره گستردگی حملات، وصله‌های اضطراری را در نسخه‌های 14.1-73.37 و 13.1-64.23 منتشر کرد.[1][2]

آسیب‌پذیری اول (CVE-2026-88771) ناشی از اعتبارسنجی نامناسب ورودی است که به یک مهاجم اجازه می‌دهد دستورات دلخواه خود را اجرا کند. خطرناک‌ترین جنبه این نقص، گستردگی آن است: تمامی پیکربندی‌های NetScaler ADC و NetScaler Gateway، از جمله تنظیمات پیش‌فرض، بدون نیاز به فعال بودن هیچ ویژگی اضافه‌ای، در برابر این حمله آسیب‌پذیر هستند.[1][2]

آسیب‌پذیری دوم (CVE-2026-88772) یک خطای سرریز حافظه (Memory Overflow) است که می‌تواند منجر به اجرای کد از راه دور یا از کار افتادن سرویس (DoS) شود. این نقص تجهیزاتی را هدف قرار می‌دهد که پروتکل DTLS در آن‌ها فعال است. از آنجا که DTLS به طور پیش‌فرض برای سرورهای مجازی VPN روشن است، تقریبا تمام Gatewayهای NetScaler در معرض خطر قرار دارند، مگر اینکه مدیران شبکه صراحتا این ویژگی را غیرفعال کرده باشند.[1]

پیش از تایید رسمی سیتریکس، شرکت‌های امنیتی مانند watchTowr بهره‌برداری فعال از این نقص‌ها را در بررسی‌های جرم‌شناسی خود تایید کرده بودند. در این بازه زمانی، فقدان شناسه‌های CVE، نبود وصله امنیتی و عدم وجود شاخص‌های سازش (IoC)، سازمان‌ها را در موقعیتی قرار داد که تنها راه دفاعی آن‌ها خاموش کردن تجهیزات لبه شبکه بود.[2][3]

تجهیزات NetScaler به دلیل قرارگیری در لبه شبکه و مدیریت ترافیک مورد اعتماد، همواره هدفی جذاب برای گروه‌های هکری پیشرفته بوده‌اند. این بحران تنها چند هفته پس از وصله شدن یک آسیب‌پذیری دور زدن احراز هویت دیگر (CVE-2026-19490) در ماه آگوست رخ می‌دهد که آن نیز به طور گسترده مورد سوءاستفاده قرار گرفته بود.[1][3]

اکنون که وصله‌های امنیتی منتشر شده‌اند، چالش اصلی سازمان‌ها تنها نصب به‌روزرسانی نیست. از آنجا که این آسیب‌پذیری‌ها پیش از انتشار وصله مورد سوءاستفاده قرار گرفته‌اند، نصب به‌روزرسانی نشان نمی‌دهد که آیا مهاجمان از قبل به سیستم نفوذ کرده‌اند یا خیر. مدیران شبکه باید لاگ‌های سیستم را برای یافتن هرگونه فعالیت غیرعادی یا پوسته‌های وب (Web Shells) پنهان شده بررسی کنند.[1]

در حالی که سیتریکس شش آسیب‌پذیری دیگر را نیز در همین بولتن امنیتی برطرف کرده است، تمرکز اصلی روی دو نقص RCE است که کنترل کامل دستگاه را به مهاجم می‌دهند. برای سازمان‌هایی که هنوز تجهیزات خود را به‌روزرسانی نکرده‌اند، هر دقیقه تاخیر می‌تواند به معنای باز ماندن درهای شبکه به روی مهاجمان باشد.[2]