פרצת אפס קריטית ב-Citrix NetScaler בניצול פעיל: לעסקים נותרו ימים ספורים לתקן
סיטריקס חשפה שמונה פגיעויות חדשות במוצרי NetScaler, כולל שתיים קריטיות שכבר מנוצלות בשטח לפריצה מרחוק ללא צורך בהתחברות. רשויות סייבר בעולם קבעו דדליין דחוף לתיקון - וגם עסקים שמשתמשים במוצר להתחברות מרחוק צריכים לבדוק זאת מיד.
בשבוע האחרון חשפה חברת Citrix שמונה פגיעויות אבטחה חדשות במוצרי NetScaler ADC ו-NetScaler Gateway – התוכנה שדרכה מיליוני עובדים ברחבי העולם, כולל בישראל, מתחברים מרחוק לרשתות הארגון שלהם. שתיים מהפגיעויות הן קריטיות וכבר מנוצלות בפועל על ידי תוקפים, בלי צורך בשם משתמש, סיסמה או כל אינטראקציה מצד הקורבן. רשויות סייבר בארה"ב, אוסטרליה וסינגפור יצאו בהתראות דחופות, וגופים ממשלתיים קיבלו הוראה לתקן תוך ימים ספורים. עבור כל עסק שמאפשר לעובדים להתחבר מרחוק, זו לא עוד כותרת טכנית – זו דלת פתוחה לרשת הפנימית שצריך לסגור עכשיו.
מה בדיוק התגלה
שתי הפגיעויות המרכזיות מסומנות CVE-2026-88771 ו-CVE-2026-88772. הראשונה מדורגת בציון חומרה של 9.5 מתוך 10 ומאפשרת לתוקף מרוחק, ללא אימות זהות כלשהו, להריץ פקודות באופן חופשי על השרת – בתצורת ברירת המחדל של המוצר. השנייה היא פגיעות גלישת זיכרון שיכולה להוביל גם היא להרצת קוד מרחוק וגם להשבתת המערכת. Citrix אישרה כי הניצול כבר מתרחש בשטח, כלומר לא מדובר בתרחיש היפותטי אלא בהתקפות פעילות שמתבצעות תוך כדי כתיבת השורות האלה.
למה זו פגיעות חמורה במיוחד
מה שהופך את הסיפור הזה למדאיג יותר מפרצות רגילות הוא שילוב של שלושה גורמים: אין צורך בהתחברות מוקדמת, אין צורך בפעולה כלשהי מצד המשתמש, וההתקפה מתבצעת דרך שרתי הגישה המרוחקת עצמם – בדיוק המערכות שאמורות להגן על הרשת הארגונית. NetScaler הוא לא כלי שולי: הוא משמש לאיזון עומסים, ניהול תעבורה וכניסה מאובטחת (VPN) לארגונים גדולים כקטנים. תוקף שמצליח לנצל את הפרצה יכול לקבל דריסת רגל ראשונית עמוק בתוך הרשת, ומשם לנוע הצידה אל שרתים, מסדי נתונים ותחנות עבודה רגישות.
מי בסיכון בפועל
כל ארגון שמריץ NetScaler ADC או NetScaler Gateway בתצורה שאינה מתוקנת נמצא בסיכון מיידי, ללא קשר לגודלו. עסקים רבים משתמשים במוצרי Citrix דווקא בגלל שהם מאפשרים לעובדים ולספקים חיצוניים להתחבר מהבית או מהשטח – מה שהופך את המערכת הזו לנקודת כניסה אטרקטיבית עבור תוקפים. חברות עם צוותי IT מצומצמים, שלרוב מתקשות לעקוב אחרי כל עדכון אבטחה שמתפרסם, חשופות באופן מיוחד, כי לעיתים המערכת ממשיכה לרוץ בתצורה הישנה חודשים ארוכים בלי שאיש שם לב.
מה עסקים צריכים לעשות עכשיו
הצעד הראשון הוא לבדוק מול ספק ה-IT או המיקור החוץ אם הארגון מריץ בכלל מוצרי NetScaler, ואם כן – באיזו גרסה. אם התשובה חיובית, יש להתקין את עדכוני האבטחה הרשמיים של Citrix ללא דיחוי, ולא להמתין למחזור התחזוקה הרגיל. רשויות סייבר ממליצות גם לבדוק יומני גישה (logs) לאיתור סימני פריצה שכבר התרחשה, ולשקול איפוס הרשאות והתחברויות פעילות לאחר העדכון, כדי לוודא שתוקף שכבר חדר לא נשאר עם גישה. ארגונים שמסתמכים על ספק חיצוני לניהול תשתיות ה-IT צריכים לוודא במפורש, ובכתב, שהעדכון בוצע – ולא להניח שזה "כנראה כבר טופל".
הסיפור הזה הוא תזכורת לכך שתשתיות שאמורות להגן על הארגון – שערי VPN, פתרונות גישה מרחוק ומאזני עומסים – הן בעצמן יעד ראשון במעלה לתוקפים, ולכן חייבות להיות בראש סדר העדיפויות של עדכוני אבטחה, לא בסופו. עסק שמפעיל היום Citrix NetScaler ולא בדק את הנושא כדאי שיעשה זאת עוד היום, ולא ימתין לדדליין הרשמי.
