فيض ذاكرة مرتبط بـ SAML في NetScaler — CVE-2026-88779 في KEV (الموعد النهائي 7 أكتوبر)
أعلنت Citrix عن خلل في حدود ذاكرة البفر في NetScaler ADC / Gateway (CVE-2026-88779، CVSS v4.0 8.7، CWE-119). تقول Citrix إنها رصدت هجمات موجّهة على النشرات غير المعالجة يمكن أن تؤدي إلى إيقاف الخدمة. إدراج CISA في KEV يثبت استغلال الثغرة، والوصف المختصر يقول إن الخلل قد يسمح بإيقاف الخدمة. لا يؤكد أي من المصدرين أن النشرات المتأثرة توقفت فعلياً. أضافته CISA في 4 أكتوبر والموعد النهائي الفيدرالي 7 أكتوبر. ومع CVE-2026-88771 وCVE-2026-88772 (اتضافوا في 27 سبتمبر)، ده تالت إدخال KEV لـ NetScaler خلال أسبوعين، ومش التالت للمنتج من الأول (الفهرس فيه إدخالات أقدم، منها CVE-2023-4966). توقيعات Global Deny List (v24 أو أحدث) هي الإجراء المؤقت، والإصلاح في 14.1-73.41 / 13.1-64.28 أو أحدث.
المقالة دي اتترجمت بالآلة.
في 3 أكتوبر (بتوقيت المحيط الهادئ الصيفي)، نشرت Citrix الثغرة CVE-2026-88779 الخاصة بـ NetScaler ADC (المعروف سابقاً باسم Citrix ADC) و NetScaler Gateway (المعروف سابقاً باسم Citrix Gateway) في نشرة الأمان CTX697174 ومقال توضيحي مجتمعي. تم تصنيفها كـ CWE-119 (قيود غير كافية على العمليات ضمن حدود ذاكرة البفر) مع درجة أساسية CVSS v4.0 تبلغ 8.7 (CNA: NetScaler). تؤثر المشكلة على نشرات NetScaler التي يديرها العملاء والتي تستخدم مصادقة SAML معاً مع وظائف Gateway أو AAA. الإصدارات المتأثرة هي ADC و Gateway 14.1 قبل 14.1-73.41 و 13.1 قبل 13.1-64.28، و ADC FIPS قبل 14.1-73.41 FIPS، و ADC FIPS و NDcPP قبل 13.1-37.282 (Citrix CTX697174؛ نُشرت في NVD في 4 أكتوبر 2026). تقول Citrix إنها رصدت هجمات موجّهة على النشرات غير المعالجة يمكن أن تؤدي إلى إيقاف الخدمة. الوصف المختصر في KEV عند CISA يقول إن الخلل قد يسمح بإيقاف الخدمة، والإدراج يثبت استغلال الثغرة. لا يؤكد أي من المصدرين أن النشرات المتأثرة توقفت فعلياً. تحليل Citrix ماحددش أثر على سلامة بيانات العملاء.
أضافت CISA الثغرة إلى كتالوج KEV الخاص بها في 4 أكتوبر، مما يمنح الوكالات المدنية الفيدرالية حتى 7 أكتوبر للاستجابة (BOD 26-04، ثلاثة أيام من الإدراج). تتطلب ملاحظات KEV تطبيق إجراءات التخفيف الموجهة من المورد وفقاً لـ BOD 26-04 ومتطلبات الفرز الجنائي (Forensics Triage Requirements) لدى CISA؛ الفرز الجنائي مُعلَّم بـ Yes واستخدام حملات الفدية المعروفة هو Unknown (كتالوج CISA KEV 2026.10.04، 1,734 إدخالا إجمالاً). تقترح Citrix فحص ذاتي للإعدادات للشروط المسبقة: يلبي النشر هذه الشروط إذا كان مُعداً كـ SAML SP (إضافة مصادقة samlAction) أو كـ SAML IdP (إضافة مصادقة samlIdPProfile). توقيعات Global Deny List التي توفرها Citrix (v24 أو أحدث) متاحة في 14.1-73.37 أو أحدث حتى قبل 14.1-73.41، وفي 13.1-64.23 أو أحدث حتى قبل 13.1-64.28، مع تفعيل التصحيح الافتراضي (virtual patching) في NetScaler Console وظهور Encrypted Version في أمر show appfw signatures.
التحليل (منفصل عن التغطية): إدخالين KEV اللي اتضافوا في 27 سبتمبر مش مشروطين بـ SAML. CTX697096 بيقول إن CVE-2026-88771 (تحقق غير مناسب من المدخلات ممكن يخلي مهاجم مش مصادق ينفذ أوامر اختيارية) بيأثر على كل نشرات NetScaler ADC وNetScaler Gateway، بما فيها الإعداد الافتراضي، ومن غير ميزة إضافية. وCTX697096 بيقول إن CVE-2026-88772 (فيض ذاكرة ممكن يوصل لتنفيذ كود عن بعد أو إيقاف الخدمة) محتاج DTLS، وهو شغال افتراضياً على VPN vServer. ومع CVE-2026-88779 اللي اتضافت في 4 أكتوبر، يبقى تلات إدخالات KEV لـ NetScaler خلال أسبوعين. الفهرس فيه أصلاً إدخالات NetScaler أقدم، منها CVE-2023-4966 (اتضافت في 18 أكتوبر 2023)، فدي مش الإدخال التالت للمنتج من الأول. Citrix ماقالتش إن السبب الجذري واحد للتلاتة. خدمات السحابة اللي بتديرها Citrix بره نشرة النشر اللي بيديره العميل.
التبعيات على المدافعين: (1) إذا كان بيئتك تحتوي على إعداد SAML SP أو IdP، تحقق فوراً من الإصدار المثبت مقابل CTX697174 وقم بترقية 14.1 إلى 14.1-73.41 أو أحدث، و 13.1 إلى 13.1-64.28 أو أحدث، و FIPS / NDcPP إلى 14.1-73.41 FIPS / 13.1-37.282 أو أحدث؛ البيئات التي قامت بالترقية بالفعل لـ CTX697096 (نشرة CVE-2026-88771 إلى CVE-2026-88778) لا تزال بحاجة إلى ترقية أخرى إذا كانت تلبي الشروط المسبقة. (2) كإجراء مؤقت لحد الترقية، طبّق توقيعات Global Deny List (v24 أو أحدث) وراجع العدادات بأمر stat denylist global AAA_REQUEST. إجراءات التحقق عند Citrix بتقول إن قيمة أكبر من صفر معناها إن القواعد شغالة. (3) ملاحظات KEV بتحط forensicTriage على Yes وبتطلب فرز جنائي حسب BOD 26-04. للثغرة دي، الشرط المسبق في CTX697174 هو SAML SP (add authentication samlAction) أو SAML IdP (add authentication samlIdPProfile). CVE-2026-88771 وCVE-2026-88772 ليهم شروط مسبقة مختلفة في CTX697096.