عاملان تهدید در حال سوءاستفاده فعال از دو آسیب‌پذیری بحرانی روز صفر در تجهیزات Citrix NetScaler ADC و NetScaler Gateway هستند. این امر به آنان امکان می‌دهد روی سیستم‌های در معرض، کد را از راه دور اجرا کنند.
این نقص‌ها که با شناسه‌های CVE-2026-88771 and CVE-2026-88772 رصد می‌شوند، امتیاز شدت CVSS v4 برابر با 9.5 از 10 دریافت کرده‌اند و به فهرست Known Exploited Vulnerabilities (KEV) آژانس امنیت سایبری و امنیت زیرساخت آمریکا افزوده شده‌اند.
آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) تأیید کرد که گزارش‌ها و اطلاعات شرکای آن نشان می‌دهد این بهره‌برداری در سطح جهانی در جریان است. شرکت Citrix پس از آنکه تأیید شد علیه استقرارهای NetScaler که توسط مشتری مدیریت می‌شوند و پچ نشده‌اند سوءاستفاده انجام شده است، به‌روزرسانی‌های اضطراری منتشر کرد. این محصولات معمولاً در لبه شبکه مستقر می‌شوند تا تحویل برنامه، توازن بار، دسترسی VPN و دسترسی امن راه دور را فراهم کنند.
این جایگاه باعث می‌شود یک تجهیز به‌خطر افتاده برای عاملان تهدید بسیار ارزشمند باشد، زیرا می‌تواند بین کاربران اینترنت و سامانه‌های داخلی شرکت قرار بگیرد.
آسیب‌پذیری CVE-2026-88771 ناشی از اعتبارسنجی نادرست ورودی است و می‌تواند به مهاجم راه دورِ بدون احراز هویت اجازه دهد روی NetScaler ADC یا Gateway آسیب‌پذیر، فرامین دلخواه را اجرا کند.
این نقص بر همه استقرارهای آسیب‌پذیر اثر می‌گذارد، از جمله دستگاه‌هایی که از پیکربندی پیش‌فرض استفاده می‌کنند. برای قابل‌دسترس شدن این نقص نیازی به فعال بودن هیچ ویژگی اختیاری نیست؛ بنابراین دامنه اثر آن از دو مورد، گسترده‌تر است. شرکت Citrix اعلام کرد پیچیدگی حمله در این آسیب‌پذیری پایین است؛ به این معنی که عامل تهدید برای آغاز بهره‌برداری نه به حساب کاربری نیاز دارد و نه به تعامل کاربر.
نقص دوم، CVE-2026-88772، یک آسیب‌پذیری Memory Overflow است که می‌تواند به اجرای کد از راه دور یا شرایط انکار سرویس منجر شود. برخلاف CVE-2026-88771، بهره‌برداری از این نقص مستلزم فعال بودن Datagram Transport Layer Security یا DTLS است.
ویژگی DTLS به‌صورت پیش‌فرض روی سرورهای مجازی VPN در NetScaler فعال است، مگر آنکه مدیران آن را صراحتاً غیرفعال کرده باشند. در نتیجه، استقرارهای دسترسی راه دور باید در اولویت بررسی تیم‌های امنیت قرار بگیرند.
شرکت Citrix بررسی‌های پیکربندی ارائه کرده است که به مدیران کمک می‌کند مشخص کنند آیا DTLS روی یک سرور مجازی NetScaler فعال است یا خیر. هر دو نقص روز صفر در تاریخ 27 سپتامبر 2026 همراه با شش آسیب‌پذیری دیگر در NetScaler افشا شدند. شرکت Citrix تأیید کرد که مهاجمان پیش از انتشار عمومی پچ‌ها، در حال سوءاستفاده از این دو نقصِ منجر به اجرای کد از راه دور بوده‌اند.
هشدار آژانس CISA درباره دو آسیب‌پذیری روز صفر در Citrix NetScaler
تیم‌های امنیتی باید این انتشار را یک موضوع پاسخ‌گویی به رخداد فعال تلقی کنند، نه یک کار معمول پچ‌کردن. شرکت Citrix پیش‌تر وجود دو آسیب‌پذیری روز صفر در NetScaler را تأیید کرده و درباره ریسک‌هایی که متوجه تجهیزات ADC و Gateway در معرض اینترنت است، هشدار داده است.
بولتن امنیتی فروشنده اعلام کرده است که نسخه‌های NetScaler ADC و Gateway شاخه 14.1 پیش از 14.1-73.37 و شاخه 13.1 پیش از 13.1-64.23 آسیب‌پذیر هستند. همچنین نسخه‌های NetScaler ADC 14.1-FIPS پیش از 14.1-73.37 FIPS و نسخه‌های 13.1-FIPS یا NDcPP پیش از 13.1-37.279 تحت تأثیر قرار دارند.
مشتریان Secure Private Access Hybrid که از نمونه‌های NetScaler آسیب‌پذیر استفاده می‌کنند، باید همان نمونه‌ها را نیز ارتقا دهند. خدمات ابری مدیریت‌شده توسط Citrix مشمول این بولتن نیست؛ زیرا شرکت Cloud Software Group به‌صورت مستقیم به آن خدمات به‌روزرسانی اعمال می‌کند.
مدیران باید همه سامانه‌های NetScaler ADC و Gateway که توسط مشتری مدیریت می‌شوند را شناسایی کنند، به‌ویژه تجهیزاتی که از اینترنت عمومی قابل دسترسی هستند، و در نخستین فرصت عملیاتی به نسخه‌های دارای رفع نقص ارتقا دهند.
برای شاخه 14.1، نسخه 14.1-73.37 یا جدیدتر و برای شاخه 13.1، نسخه 13.1-64.23 یا جدیدتر توصیه شده است. استقرارهای FIPS و NDcPP باید نسخه‌های متناظرِ پچ‌شده خود را دریافت کنند. همچنین سازمان‌ها باید با بازبینی تنظیمات VPN با DTLS فعال و سایر تنظیمات سرور مجازی بررسی کنند که آیا CVE-2026-88772 شامل محیط آنان می‌شود یا خیر.
به گفته آژانس CISA، پچ‌کردن به‌تنهایی ممکن است در مواردی که دستگاه پیش‌تر به‌خطر افتاده است ریسک را برطرف نکند. این آژانس توصیه کرده است پیش از اعمال به‌روزرسانی، به‌دنبال شاخص‌های نفوذ جست‌وجو کنید و لاگ‌های NetScaler را به یک SIEM متمرکز یا سکوی نگهداشت لاگ ارسال کنید؛ زیرا لاگ‌های محلی تجهیز ممکن است به‌سرعت چرخش یابند و شواهد را بازنویسی کنند. همچنین یک منبع قانون شناسایی Sigma برای پشتیبانی از تهدیدیابیِ فعالیت‌های مشکوک NetScaler منتشر کرده است.
در صورت ظن به نفوذ، سازمان‌ها باید ابتدا شواهد را حفظ کنند؛ از جمله snapshot سیستم، بسته‌های پشتیبانی، داده‌های حافظه در صورت اقتضا، و رکوردهای syslog راه‌دور.
شرکت Citrix توصیه می‌کند تجهیز تحت‌تأثیر را ایزوله کنید، اعتبارنامه‌ها و اسرار ذخیره‌شده را تعویض کنید، گواهی‌ها و کلیدهای خصوصی را ابطال کنید، سامانه‌های متصل را بررسی کنید، و از یک نسخه پشتیبان سالمِ شناخته‌شده که تاریخ آن پیش از نفوذ احتمالی است بازسازی انجام دهید.
سپس باید گذرواژه‌های بازیابی‌شده، کلیدهای رمزگذاریِ کلیدها و گواهی‌های SSL تعویض شوند. دامنه وضعیت فراتر از دو آسیب‌پذیری اولیه گسترش یافته است. سازمان CISA در 9 اکتبر هشدار خود را به‌روزرسانی کرد تا CVE-2026-107406 را نیز شامل شود و بر به‌روزرسانی سریع برای CVE-2026-88771 تا CVE-2026-88779 تأکید کرد.
شناسه CVE-2026-88779، یک مسئله جداگانه مرتبط با SAML در NetScaler که به‌طور فعال مورد سوءاستفاده قرار می‌گیرد، می‌تواند باعث انکار سرویس شود و ممکن است برای واداشتن دستگاه به راه‌اندازی مجدد به کار رود؛ راه‌اندازی مجددی که به اجرای کدی کمک می‌کند که پیش‌تر از طریق بهره‌برداری از CVE-2026-88771 تزریق شده است.
وب‌سایت Cyber Security News همچنین به آسیب‌پذیری روز صفر SAML در NetScaler که به‌طور فعال بهره‌برداری می‌شود پرداخت که مستلزم آن است سازمان‌های متاثر مجموعه جدیدتری از به‌روزرسانی‌های NetScaler را اعمال کنند.
برای مدافعان، اولویت فوری روشن است: سیستم‌های NetScaler در معرض اینترنت را پچ کنید، پیش از اعمال تغییرات عمده لاگ‌ها را حفظ کنید، فعالیت‌های احراز هویت و مدیریتی را بازبینی کنید، و فرض کنید هر دستگاه روبه‌اینترنتِ آسیب‌پذیر ممکن است پویش شده یا به‌خطر افتاده باشد.
