אזהרה: שתי פגיעויות יום-אפס לא מתוקנות ב-Citrix NetScaler מנוצלות בפועל

חברת המחקר watchTowr מזהירה משתי פגיעויות הרצת קוד מרחוק (RCE) חדשות במוצרי Citrix NetScaler ADC ו-NetScaler Gateway — לפי הדיווח, שתיהן מנוצלות בפועל כבר עכשיו, בזמן שאין להן עדיין לא מספרי CVE, לא ייעוץ רשמי מסיטריקס ולא עדכון מתקן. מכשירי NetScaler יושבים בקצה הרשת הארגונית ומטפלים ב-VPN, גישה מרוחקת ואיזון עומסים — כך שפגיעות בהם חושפת את כל מה שמאחוריהם.

מנעול דיגיטלי שבור מול שרת רשת, המחשה לפגיעות יום-אפס לא מתוקנת

מזהה	מוצר וגרסאות	חומרה (CVSS)	מנוצל בפועל	סטטוס תיקון
לא פורסם (טרם הוקצה מספר CVE)	NetScaler ADC ו-NetScaler Gateway; טווח הגרסאות המושפעות לא פורסם	לא פורסם	כן, לפי watchTowr	אין תיקון; סיטריקס צפויה לפרסם מידע ועדכון בשבוע של 28.9.2026

מה קרה

לפי watchTowr, שתי הפגיעויות התגלו תוך כדי חקירות פורנזיות בשטח ונוצלו כתקיפות יום-אפס עוד לפני שהיה קיים תיקון כלשהו. הרשות ההולנדית לאבטחת סייבר (NCSC-NL) יצאה עם התרעה מקדימה בנושא, וגורמי אבטחה מנוהלת (MDR/MSP) המליצו ללקוחותיהם על ניתוק זמני של מכשירי NetScaler החשופים לאינטרנט עד לפרסום עדכון. סיטריקס עצמה טרם אישרה את הפגיעויות ולא פרסמה מספרי CVE, טווח גרסאות מושפעות, דרכי זיהוי (IoC) או workaround. חשוב להבחין: מדובר בפגיעויות שונות מ-CVE-2026-19490, פגיעות עקיפת אימות שסיטריקס תיקנה באוגוסט והצטרפה מאז לקטלוג ה-KEV של CISA.

נקודות לשים לב

אין עדיין תיקון או ייעוץ רשמי — אם יש לך מכשיר NetScaler ADC או Gateway חשוף לאינטרנט, שקול להגביל גישה אליו או לנתקו זמנית עד לפרסום מידע רשמי מסיטריקס, בדומה למה שכבר עשו ארגונים וגורמי אבטחה מנוהלת.
עקוב אחרי הייעוץ הרשמי הצפוי מסיטריקס בשבוע הקרוב והתקן את העדכון מיד עם פרסומו — אל תמתין לחלון תחזוקה רגיל.
אין עדיין אינדיקטורים לזיהוי (IoC) רשמיים לפגיעויות האלה; בהיעדרם, בדוק יומני גישה וניהול של NetScaler לאיתור פעילות חריגה כללית.
לפי watchTowr, עצם התקנת התיקון כשיפורסם לא תגלה האם תוקף כבר חדר לפני כן — אם המכשיר שלך היה חשוף, בדוק סימני פשרה גם אחרי העדכון ולא רק לפניו.
ההיעדר של מספר CVE וייעוץ רשמי אינו סימן להקלה — הדיווח מבוסס על חברת מחקר מוכרת ועל התרעה של רשות סייבר לאומית, ולכן ראוי להתייחס אליו ברצינות כבר עכשיו.