مدیران سیستم‌های Citrix NetScaler با گزارش‌هایی مبنی بر وجود دو آسیب‌پذیری افشاش‌نشده از نوع Remote Code Execution (RCE) مواجه شده‌اند که گفته می‌شود در حملات واقعی مورد سوءاستفاده قرار گرفته‌اند.
جزئیات فنی و وضعیت فعلی
شرکت watchTowr اعلام کرده است که این نقص‌ها از نوع زیرو دِی (Zero-Day) و بدون وصله (Unpatched) هستند و طی بررسی‌های فارنزیک شناسایی شده‌اند. در حالی که انتظار می‌رود Citrix در ابتدای هفته آینده اصلاحات و جزئیات فنی را منتشر کند، اما تا این لحظه هیچ شناسه CVE، جزئیات فنی، نسخه‌های آسیب‌پذیر یا Indicators of Compromise (IoC) رسمی منتشر نشده است. این موضوع باعث شده تا تیم‌های دفاعی مجبور باشند با اطلاعات محدود، تصمیمات حیاتی در مورد زیرساخت‌های خود بگیرند.
توصیه‌های امنیتی و واکنش‌ها
برخی سازمان‌ها در واکنش به این هشدار، تجهیزات NetScaler متصل به اینترنت خود را به طور کامل خاموش کرده‌اند. اگرچه این اقدام می‌تواند دسترسی‌های VPN، توزیع اپلیکیشن‌ها (Application Delivery) و سرویس‌های احراز هویت را مختل کند، اما با توجه به جایگاه حساس این تجهیزات در مرز شبکه، در محیط‌های حساس ممکن است حذف موقت سیستم‌های در معرض دید، امن‌ترین تصمیم باشد.
تفکیک از آسیب‌پذیری‌های قبلی
این هشدار جدید نباید با بولتن ۱۹ آگوست Citrix (شامل CVE-2026-19490 و CVE-2026-19489) اشتباه گرفته شود. آسیب‌پذیری CVE-2026-19490 یک نقص بحرانی در Authentication Bypass با امتیاز 9.3 است که پیش از این توسط CISA و سازمان امنیت سایبری سنگاپور به عنوان مورد فعال در سوءاستفاده شناسایی شده بود. اما گزارش‌های جدید watchTowr صراحتاً به دو نقص مجزا از نوع RCE اشاره دارد که هنوز وصله‌ای برای آن‌ها منتشر نشده است.
اقدامات پیشنهادی برای تیم‌های SOC
- بررسی موجودی: شناسایی تمامی نمونه‌های NetScaler، تایید نسخه‌ها و میزان دسترسی آن‌ها از طریق اینترنت.
- کنترل دسترسی: محدود کردن دسترسی‌های مدیریتی و پیاده‌سازی کنترل‌های جبرانی (Compensating Controls) در برابر رابط‌های عمومی.
- تحلیل فارنزیک: حفظ لاگ‌ها و ایمیج‌های فارنزیک، بررسی رویدادهای احراز هویت، نشست‌های (Sessions) جدید، تغییرات در پیکربندی و اتصالات خروجی مشکوک.
- پایش مستمر: دنبال کردن کانال‌های رسمی بولتن‌های امنیتی Citrix برای دریافت وصله‌ها و راهنمای استقرار.
