גלישת זיכרון מותנית ב-SAML ב-NetScaler — CVE-2026-88779 נוסף ל-KEV (יעד October 7)
Citrix חשפה פגם בגבולות מאגר זיכרון ב-NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix אומרת שצפתה במתקפות ממוקדות על פריסות שלא הופחתו, ושהן יכולות להוביל למניעת שירות. הרישום של CISA ב-KEV קובע ניצול של הפגיעות, והתיאור הקצר שלה אומר שהפגם עלול לאפשר מניעת שירות. אף אחד מן המקורות אינו מאשר שפריסות שנפגעו הורדו. CISA הוסיפה אותו ב-October 4 עם תאריך יעד פדרלי של October 7. יחד עם CVE-2026-88771 ו-CVE-2026-88772 (שניהם נוספו ב-September 27), זו רשומת ה-KEV השלישית של NetScaler שנוספה בתוך שבועיים, לא רשומת ה-KEV השלישית של המוצר בסך הכול (רשומות קודמות כוללות את CVE-2023-4966). חתימות Global Deny List (v24 או מאוחר יותר) הן ההקלה הזמנית, והתיקון נשלח ב-14.1-73.41 / 13.1-64.28 או מאוחר יותר.
מאמר זה תורגם במכונה.
ב-October 3 (Pacific Daylight Time) פרסמה Citrix את CVE-2026-88779 עבור NetScaler ADC (לשעבר Citrix ADC) ו-NetScaler Gateway (לשעבר Citrix Gateway) בעלון האבטחה CTX697174 ובהסבר קהילתי. הוא מסווג כ-CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) עם ציון בסיס CVSS v4.0 של 8.7 (CNA: NetScaler). הבעיה משפיעה על פריסות NetScaler שמנוהלות בידי הלקוח ומשתמשות באימות SAML יחד עם פונקציונליות Gateway או AAA. הגרסאות המושפעות הן ADC ו-Gateway 14.1 לפני 14.1-73.41 ו-13.1 לפני 13.1-64.28, ADC FIPS לפני 14.1-73.41 FIPS, ו-ADC FIPS ו-NDcPP לפני 13.1-37.282 (Citrix CTX697174; NVD פורסם ב-October 4, 2026). Citrix אומרת שצפתה במתקפות ממוקדות נגד פריסות שלא הופחתו, ושהן יכולות להוביל למניעת שירות. התיאור הקצר של KEV אצל CISA אומר שהפגם עלול לאפשר מניעת שירות, והרישום קובע ניצול של הפגיעות. אף אחד מן המקורות אינו מאשר שפריסות שנפגעו הורדו בהצלחה. הניתוח של Citrix לא זיהה השפעה על שלמות נתוני הלקוח.
CISA הוסיפה את הפגיעות לקטלוג ה-KEV שלה ב-October 4, ונתנה לסוכנויות אזרחיות פדרליות עד October 7 להגיב (BOD 26-04, שלושה ימים מן הרישום). הערות ה-KEV דורשות להחיל הקלות לפי הנחיית הספק, בהתאם ל-BOD 26-04 ולדרישות ה-Forensics Triage של CISA; מיון פורנזי מסומן Yes ושימוש ידוע במסע כופר הוא Unknown (קטלוג CISA KEV 2026.10.04, 1,734 רשומות בסך הכול). Citrix מציעה בדיקה עצמית של התצורה לתנאים המוקדמים: פריסה עומדת בהם אם היא מוגדרת כ-SAML SP (add authentication samlAction) או כ-SAML IdP (add authentication samlIdPProfile). חתימות Global Deny List ש-Citrix שולחת (v24 או מאוחר יותר) זמינות ב-14.1-73.37 או מאוחר יותר ועד לפני 14.1-73.41, וב-13.1-64.23 או מאוחר יותר ועד לפני 13.1-64.28, כשתיקון וירטואלי של NetScaler Console מופעל ו-Encrypted Version גלוי ב-show appfw signatures.
ניתוח (נשמר בנפרד מן הדיווח): שתי רשומות ה-KEV שנוספו ב-September 27 אינן מותנות ב-SAML. CTX697096 אומר ש-CVE-2026-88771 (אימות קלט לקוי שעלול לאפשר לתוקף בלי אימות להריץ פקודות שרירותיות) משפיע על כל פריסות NetScaler ADC ו-NetScaler Gateway, כולל תצורת ברירת המחדל, בלי שנדרשת תכונה נוספת. CTX697096 אומר ש-CVE-2026-88772 (גלישת זיכרון שעלולה להוביל להרצת קוד מרחוק או למניעת שירות) דורש DTLS, שמופעל כברירת מחדל ב-VPN vServer. יחד עם CVE-2026-88779, שנוסף ב-October 4, אלה שלוש רשומות KEV של NetScaler שנוספו בתוך שבועיים. הקטלוג כבר מכיל רשומות NetScaler קודמות, כולל CVE-2023-4966 (נוסף ב-October 18, 2023), ולכן זו אינה רשומת ה-KEV השלישית של המוצר בסך הכול. Citrix אינה אומרת אם לשלוש אלה שורש משותף. שירותי ענן שמנוהלים בידי Citrix נמצאים מחוץ לעלון של הפריסות שמנוהלות בידי הלקוח.
השלכות למגינים: (1) אם בסביבה שלכם יש תצורת SAML SP או IdP, אמתו מיד את הגרסה הפרוסה מול CTX697174 ושדרגו את 14.1 ל-14.1-73.41 או מאוחר יותר, את 13.1 ל-13.1-64.28 או מאוחר יותר, ואת FIPS / NDcPP ל-14.1-73.41 FIPS / 13.1-37.282 או מאוחר יותר; סביבות שכבר שודרגו עבור CTX697096 (העלון של CVE-2026-88771 עד CVE-2026-88778) עדיין זקוקות לשדרוג נוסף אם הן עומדות בתנאים המוקדמים. (2) כהקלה זמנית עד השדרוג, החילו את חתימות Global Deny List (v24 או מאוחר יותר) ובדקו את המונים עם stat denylist global AAA_REQUEST. נוהל האימות של Citrix אומר שערך גדול מאפס מציין שהכללים פועלים. (3) הערות ה-KEV קובעות את forensicTriage ל-Yes ודורשות מיון פורנזי לפי BOD 26-04. עבור הפגיעות הזו, התנאי המוקדם ב-CTX697174 הוא SAML SP (add authentication samlAction) או SAML IdP (add authentication samlIdPProfile). ל-CVE-2026-88771 ול-CVE-2026-88772 יש תנאים מוקדמים שונים ב-CTX697096.