تجاوز ذاكرة مشروط بـ SAML في NetScaler — CVE-2026-88779 في KEV (الموعد النهائي 7 أكتوبر)
أعلنت Citrix عن خلل في حدود مخزن الذاكرة في NetScaler ADC / Gateway (CVE-2026-88779، CVSS v4.0 8.7، CWE-119). تقول Citrix إنها رصدت هجمات موجّهة على الانتشارات غير المخففة يمكن أن تؤدي إلى إنكار الخدمة. إدراج CISA في KEV يثبت استغلال الثغرة، ووصفه المختصر يقول إن الخلل قد يسمح بإنكار الخدمة. لا يؤكد أي من المصدرين أن الانتشارات المتأثرة أُوقفت فعلياً. أضافته CISA في 4 أكتوبر مع موعد نهائي فيدرالي في 7 أكتوبر. ومع CVE-2026-88771 وCVE-2026-88772 (أُضيفتا في 27 سبتمبر)، هذا ثالث إدراج KEV لـ NetScaler خلال أسبوعين، وليس الإدراج الثالث للمنتج على الإطلاق (يحتوي الفهرس على إدخالات أقدم، منها CVE-2023-4966). توقيعات Global Deny List (الإصدار 24 أو أحدث) هي التخفيف المؤقت، والإصلاح في 14.1-73.41 / 13.1-64.28 أو أحدث.
تُرجمت هذه المقالة آليًا.
في 3 أكتوبر (بتوقيت المحيط الهادئ الصيفي)، نشرت Citrix المعرّف CVE-2026-88779 لمنتجي NetScaler ADC (المعروف سابقاً باسم Citrix ADC) وNetScaler Gateway (المعروف سابقاً باسم Citrix Gateway) في نشرة الأمان CTX697174 ومقال توضيحي مجتمعي. يُصنَّف هذا الخلل ضمن CWE-119 (القيود غير الكافية على العمليات ضمن حدود مخزن الذاكرة) مع درجة أساسية CVSS v4.0 تبلغ 8.7 (CNA: NetScaler). يؤثر هذا الخلل على انتشارات NetScaler المُدارة من قبل العملاء التي تستخدم مصادقة SAML معاً مع وظائف Gateway أو AAA. الإصدارات المتأثرة هي ADC وGateway 14.1 قبل 14.1-73.41 و13.1 قبل 13.1-64.28، وADC FIPS قبل 14.1-73.41 FIPS، وADC FIPS وNDcPP قبل 13.1-37.282 (Citrix CTX697174؛ نُشر في NVD في 4 أكتوبر 2026). تقول Citrix إنها رصدت هجمات موجّهة على الانتشارات غير المخففة يمكن أن تؤدي إلى إنكار الخدمة. يقول الوصف المختصر في KEV لدى CISA إن الخلل قد يسمح بإنكار الخدمة، والإدراج يثبت استغلال الثغرة. لا يؤكد أي من المصدرين أن الانتشارات المتأثرة أُوقفت فعلياً. لم يحدد تحليل Citrix أثراً على سلامة بيانات العملاء.
أضافت CISA هذا الثغرة إلى كتالوج KEV الخاص بها في 4 أكتوبر، مما يمنح الوكالات المدنية الفيدرالية مهلة حتى 7 أكتوبر للاستجابة (BOD 26-04، ثلاثة أيام من الإدراج). تتطلب ملاحظات KEV تطبيق التخفيفات الموجهة من المورد وفقاً لـ BOD 26-04 ومتطلبات الفرز الجنائي لـ CISA؛ تم تحديد الفرز الجنائي بـ "نعم" واستخدام حملات الفدية المعروفة بـ "غير معروف" (كتالوج CISA KEV 2026.10.04، 1,734 إدراجاً إجمالاً). تقترح Citrix فحصاً ذاتياً للتكوين للشروط المسبقة: يلبي الانتشار هذه الشروط إذا كان مُهيأً كـ SAML SP (إضافة مصادقة samlAction) أو كـ SAML IdP (إضافة مصادقة samlIdPProfile). توقيعات Global Deny List المُشغَّلة من Citrix (الإصدار 24 أو أحدث) متاحة على الإصدارات 14.1-73.37 أو الأحدث حتى قبل 14.1-73.41، وعلى 13.1-64.23 أو الأحدث حتى قبل 13.1-64.28، مع تمكين التصحيح الافتراضي عبر NetScaler Console وظهور نسخة مشفرة في أمر show appfw signatures.
التحليل (منفصل عن التغطية): إدخالا KEV المضافان في 27 سبتمبر ليسا مشروطين بـ SAML. يقول CTX697096 إن CVE-2026-88771 (تحقق غير مناسب من المدخلات قد يسمح لمهاجم غير مصادق بتنفيذ أوامر اختيارية) يؤثر في كل عمليات نشر NetScaler ADC وNetScaler Gateway، بما في ذلك الإعداد الافتراضي، دون الحاجة إلى ميزة إضافية. ويقول CTX697096 إن CVE-2026-88772 (فيض ذاكرة قد يؤدي إلى تنفيذ رمز عن بعد أو إنكار الخدمة) يتطلب DTLS، وهو مفعّل افتراضياً على VPN vServer. ومع CVE-2026-88779 المضافة في 4 أكتوبر، تصبح ثلاث إدخالات KEV لـ NetScaler خلال أسبوعين. يحتوي الفهرس أصلاً على إدخالات NetScaler أقدم، منها CVE-2023-4966 (أُضيفت في 18 أكتوبر 2023)، لذا فهذه ليست الإدخال الثالث للمنتج على الإطلاق. لا تقول Citrix إن السبب الجذري مشترك بين الثلاث. خدمات السحابة التي تديرها Citrix خارج نطاق النشرة الخاصة بالنشر الذي يديره العميل.
الآثار على المدافعين: (1) إذا كان بيئتك تحتوي على تكوين SAML SP أو IdP، تحقق فوراً من الإصدار المُنتشر مقابل CTX697174 وارتقِ 14.1 إلى 14.1-73.41 أو الأحدث، و13.1 إلى 13.1-64.28 أو الأحدث، وFIPS / NDcPP إلى 14.1-73.41 FIPS / 13.1-37.282 أو الأحدث؛ البيئات التي ارتقت بالفعل من أجل CTX697096 (نشرة CVE-2026-88771 إلى CVE-2026-88778) لا تزال بحاجة إلى تحديث آخر إذا كانت تلبي الشروط المسبقة. (2) كتخفيف مؤقت حتى التحديث، طبّق توقيعات Global Deny List (الإصدار 24 أو أحدث) وتحقق من العدادات عبر stat denylist global AAA_REQUEST. تقول إجراءات التحقق لدى Citrix إن قيمة أكبر من صفر تدل على أن القواعد تعمل. (3) ملاحظات KEV تضبط forensicTriage على Yes وتطلب فرزاً جنائياً وفق BOD 26-04. لهذه الثغرة، الشرط المسبق في CTX697174 هو SAML SP (add authentication samlAction) أو SAML IdP (add authentication samlIdPProfile). لـ CVE-2026-88771 وCVE-2026-88772 شروط مسبقة مختلفة في CTX697096.