עדכון: פגיעות ה-Citrix NetScaler מ-CVE-2026-19490 מנוצלת כעת בפועל

לפני כשבועיים דיווחנו על פגיעות עקיפת הזדהות קריטית ב-Citrix NetScaler ADC ו-Gateway, כשעדיין לא היה ידוע על ניצול בפועל. זה השתנה: לאחר שקוד ניצול (PoC) "אמין" פורסם ברשת, נרשמו בפועל ניסיונות תקיפה נגד מכשירים חשופים, ומרכז הסייבר הבלגי הזהיר מפורשות מפני הפגיעות. מדובר במוצר גישה מרוחקת נפוץ מאוד בארגונים, כך שהחשיפה נוגעת ישירות לשער הכניסה של הרשת הארגונית.

מזהה	מוצר וגרסאות מושפעות	חומרה (CVSS)	מנוצל בפועל	סטטוס תיקון
CVE-2026-19490	NetScaler ADC/Gateway 14.1 לפני 14.1-73.32 ו-13.1 לפני 13.1-63.21, כשמוגדר כשער גישה או שרת AAA	9.3 (קריטית)	כן — ניסיונות תקיפה בפועל מתועדים	עודכן — זמין תיקון מ-19 באוגוסט

מה קרה

לפי חברת המודיעין Previdian, בתאריך 3 בספטמבר נרשמו בחיישני NetScaler שלה בקשות התואמות את קוד הניצול שפורסם, ממספר כתובות IP באוסטרליה, ארצות הברית וגרמניה. החוקרים מדגישים שמדובר בעדות לניסיונות תקיפה, לא בהכרח באישוש לפריצה מוצלחת — אך ההיקף הגלובלי של הבקשות מעיד על סריקה פעילה של מכשירים חשופים. לפי Shadowserver, למעלה מ-22,000 מופעי NetScaler ADC וכ-1,700 מופעי Gateway חשופים כרגע לאינטרנט הפתוח, גם אם לא כולם בהכרח פגיעים או לא מעודכנים.

מרכז הסייבר הלאומי של בלגיה פרסם אזהרה נפרדת המבקשת ממנהלי מערכות לתת עדיפות לעדכון המכשירים המושפעים. Citrix עצמה פרסמה את התיקון עוד ב-19 באוגוסט, כך שהחלון בין פרסום התיקון לניצול בפועל היה קצר יחסית.

נקודות לשים לב

אם עדיין לא עדכנתם — זו כבר לא המלצה מונעת אלא תגובה לתקיפה פעילה. עדכנו מיידית לגרסה המתוקנת.
בדקו ביומני הרישום (logs) ניסיונות גישה חריגים לשרתי AAA וירטואליים או לשערי SSL VPN/ICA Proxy/CVPN/RDP Proxy ללא הזדהות תקינה — זה הווקטור שמנוצל.
אם המכשיר שלכם חשוף לאינטרנט ולא עודכן, שקלו להגביל גישה זמנית או להפעיל Global Deny Lists עד להשלמת השדרוג.
עצם קיום קוד ניצול פומבי אומר שהסף לתקיפה ירד משמעותית — צפו לגל סריקות רחב יותר בימים הקרובים, לא רק מהמדינות שדווחו עד כה.

מקורות: BleepingComputer · SecurityWeek