Memory overflow لي خاص بـ SAML فـ NetScaler — CVE-2026-88779 دخلات لـ KEV (الموعد النهائي 7 أكتوبر)
Citrix أعلنات على ثغرة فـ memory-buffer-bounds فـ NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix قالت بلي شافات هجمات مستهدفة على deployments بلا mitigation، وهاد الهجمات يقدرو يوصلو لـ denial of service. الدخول لـ KEV ديال CISA كيثبت استغلال الثغرة، والوصف القصير كيقول بلي الخلل يقدر يسمح بـ denial of service. حتى واحد من المصدرين ماكيأكدش بلي الـ deployments المتأثرة توقفات فعلياً. CISA زادتها فـ 4 أكتوبر، والموعد النهائي الفيدرالي هو 7 أكتوبر. مع CVE-2026-88771 و CVE-2026-88772 (جوج بيهوم تزادو فـ 27 سبتمبر)، هادي هي الدخلة التالتة ديال NetScaler فـ KEV خلال جوج سيمانات، وماشي التالتة ديال المنتج من الأصل (الكتالوج فيه دخولات قديمة، منهم CVE-2023-4966). signatures ديال Global Deny List (v24 ولا أحدث) هي التخفيف المؤقت، والتصحيح فـ 14.1-73.41 / 13.1-64.28 ولا أحدث.
هاد المقال ترجمو بالآلة.
فـ 3 أكتوبر (بالتوقيت الصيفي لـ Pacific)، Citrix نشر CVE-2026-88779 لـ NetScaler ADC (قديما Citrix ADC) و NetScaler Gateway (قديما Citrix Gateway) فـ security bulletin CTX697174 ومقال شرحي للـ community. التصنيف ديالو هو CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) مع CVSS v4.0 base score ديال 8.7 (CNA: NetScaler). المشكل كياثر على الـ deployments ديال NetScaler اللي كيديرها الزبناء (customer-managed) وكيستعملو SAML authentication مع Gateway ولا AAA functionality. الإصدارات المتأثرة هي ADC و Gateway 14.1 قبل 14.1-73.41 و 13.1 قبل 13.1-64.28، ADC FIPS قبل 14.1-73.41 FIPS، و ADC FIPS و NDcPP قبل 13.1-37.282 (Citrix CTX697174; NVD نشراتو فـ 4 أكتوبر 2026). Citrix قالت بلي شافات هجمات مستهدفة على deployments بلا mitigation، وهاد الهجمات يقدرو يوصلو لـ denial of service. الوصف القصير فـ KEV ديال CISA كيقول بلي الخلل يقدر يسمح بـ denial of service، والدخول كيثبت استغلال الثغرة. حتى واحد من المصدرين ماكيأكدش بلي الـ deployments المتأثرة توقفات فعلياً. التحليل ديال Citrix ما لقاش أثر على integrity ديال بيانات الزبناء.
CISA زادت هاد الثغرة لـ KEV catalog ديالها فـ 4 أكتوبر، وعاتطيو للـ federal civilian agencies حتى 7 أكتوبر باش يردو (BOD 26-04، ثلاث نهارات من تاريخ الإضافة). ملاحظات KEV كتطلب تطبيق mitigations اللي كيقولو عليها الموردين حسب BOD 26-04 و CISA's Forensics Triage Requirements؛ forensic triage معرّف بـ Yes واستعمال معروف ديال ransomware campaign هو Unknown (CISA KEV catalog 2026.10.04، 1,734 دخال إجمال). Citrix قترح self-check ديال الإعدادات للـ preconditions: الـ deployment كيقع فيه هاد الشروط إلا كان configured كـ SAML SP (add authentication samlAction) ولا كـ SAML IdP (add authentication samlIdPProfile). signatures ديال Global Deny List اللي كيخرجو من Citrix (v24 ولا أحدث) متوفرة فـ 14.1-73.37 ولا أحدث حتى قبل 14.1-73.41، و فـ 13.1-64.23 ولا أحدث حتى قبل 13.1-64.28، مع NetScaler Console virtual patching مفعّل و Encrypted Version ظاهرة فـ show appfw signatures.
التحليل (مفصول على التقرير): جوج دخولات KEV اللي تزادو فـ 27 سبتمبر ماشي مشروطين بـ SAML. CTX697096 كيقول بلي CVE-2026-88771 (improper input validation اللي تقدر تخلي attacker ماشي مصادق ينفذ أوامر عشوائية) كتأثر على جميع deployments ديال NetScaler ADC و NetScaler Gateway، بما فيها الإعداد الافتراضي، وبلا ميزة إضافية. CTX697096 كيقول بلي CVE-2026-88772 (memory overflow اللي يقدر يوصل لـ remote code execution ولا denial of service) خاصو DTLS، وهو مفعّل افتراضياً على VPN vServer. مع CVE-2026-88779 اللي تزادت فـ 4 أكتوبر، هادو ثلاث دخولات KEV ديال NetScaler خلال جوج سيمانات. الكتالوج فيه أصلاً دخولات NetScaler قديمة، منهم CVE-2023-4966 (تزادت فـ 18 أكتوبر 2023)، يعني هادي ماشي الدخلة التالتة ديال المنتج من الأصل. Citrix ما قالتش واش السبب الجذري واحد للثلاثة. الخدمات السحابية اللي كتديرهم Citrix خارج البولتين ديال الـ deployments اللي كيديرهم الزبون.
التبعيات على المدافعين: (1) إلا كان عندك فـ الـ environment ديالك SAML SP ولا IdP configuration، خاصك تأكد من الإصدار اللي عندك مقارنة مع CTX697174 دابا، و ترفع 14.1 لـ 14.1-73.41 ولا أحدث، 13.1 لـ 13.1-64.28 ولا أحدث، و FIPS / NDcPP لـ 14.1-73.41 FIPS / 13.1-37.282 ولا أحدث؛ الـ environments اللي رفعو قبل لـ CTX697096 (الـ bulletin ديال CVE-2026-88771 حتى CVE-2026-88778) باقين محتاجين رفع آخر إلا كانو كيحققو الـ preconditions. (2) كتخفيف مؤقت حتى التحديث، طبق signatures ديال Global Deny List (v24 ولا أحدث) وراجع الـ counters بـ stat denylist global AAA_REQUEST. إجراء التحقق ديال Citrix كيقول بلي قيمة أكبر من صفر كتعني بلي القواعد خدامة. (3) ملاحظات KEV كتحط forensicTriage على Yes وكتطلب triage جنائي حسب BOD 26-04. لهاذ الثغرة، الشرط المسبق فـ CTX697174 هو SAML SP (add authentication samlAction) ولا SAML IdP (add authentication samlIdPProfile). CVE-2026-88771 و CVE-2026-88772 عندهم شروط مسبقة مختلفة فـ CTX697096.