تنبيه NetScaler جديد يضع ترقيع تجاوز المصادقة في خانة الطوارئ

أصدر المركز الكندي للأمن السيبراني في 4 سبتمبر 2026 تنبيهًا جديدًا يضع ترقيع أجهزة NetScaler المتأثرة بثغرة تجاوز المصادقة CVE-2026-19490 ضمن الأولويات الطارئة. ويوضح التنبيه الكندي AL26-019 أن الخلل قد يتيح لمهاجم بعيد غير مسجل تجاوز ضوابط المصادقة على أجهزة مهيأة لخدمات Gateway أو خادم AAA افتراضي.

القرار لا يعتمد على رقم الإصدار وحده: يجب مطابقة الفرع والبناء الكامل مع دور الجهاز، ثم التحقق من إعدادات Gateway وAAA وإجراء SAML حيث ينطبق الشرط. وبعد تثبيت الإصلاح، يوصي التنبيه بالتحقق من البناء الفعلي ومراجعة سجلات المصادقة ونشاط الشبكة بحثًا عن وصول غير مصرح به أو نشاط غير معتاد.

لماذا لا يكفي رقم إصدار NetScaler؟

تتحدد قابلية التعرض من اجتماع نسخة ضعيفة مع تكوين محدد. تشمل الأدوار ذات الصلة تشغيل الجهاز بوصفه Gateway لخدمات SSL VPN أو ICA Proxy أو CVPN أو RDP Proxy، أو تشغيل خادم AAA افتراضي؛ لكن شرط SAML يتغير بحسب عمر البناء.

تفصل نشرة NetScaler الرسمية CTX696939 بين الأبنية: في الفرع 14.1 تتطلب الأبنية 14.1-43.56 وما بعدها وجود إجراء SAML إلى جانب Gateway أو AAA، بينما يكفي وجود Gateway أو AAA في 14.1-43.55 وما قبله. وفي الفرع 13.1 يبدأ شرط SAML من 13.1-61.28، ولا ينطبق على 13.1-61.27 وما قبله، كما تخضع أجهزة 13.1 FIPS لشرط Gateway أو AAA المنشور من دون إضافة شرط SAML.

لهذا يمكن أن يختلف جهازان يعملان على الفرع نفسه في حالة التعرض. كما أن عرض «14.1» أو «13.1» في أداة الجرد لا يبين رقم البناء الكامل، ولا يميز المسار القياسي من FIPS أو NDcPP، ولا يكشف وظيفة الجهاز الفعلية.

شجرة قرار لتحديد الأجهزة المتأثرة

تبدأ المراجعة بالأجهزة التي تديرها المؤسسة أو مزودها مباشرة، ثم يطبق التسلسل الآتي على كل مثيل:

1. حدد نطاق الإدارة: افصل الأجهزة التي يديرها العميل عن خدمات Citrix السحابية وAdaptive Authentication التي يديرها المورد ويتولى تحديثها.
2. تحقق من الدور: ابحث عن Gateway لخدمات SSL VPN أو ICA Proxy أو CVPN أو RDP Proxy، أو خادم AAA افتراضي. إذا غابت هذه الأدوار، فلا تتحقق الشروط المنشورة للثغرة.
3. سجل المسار الكامل: حدد الفرع ورقم البناء، ثم ميز الإصدارات القياسية من 14.1-FIPS و13.1-FIPS و13.1-NDcPP.
4. طبق قاعدة SAML المناسبة: افحص وجود إجراء SAML في الأبنية التي تشترطه، ولا تستخدم غيابه لاستبعاد الأبنية الأقدم التي يكفي فيها تكوين Gateway أو AAA.
5. قارن بحد الإصلاح: إذا اجتمعت شروط التكوين وكان البناء أقدم من الإصدار المصحح لمساره، يصنف الجهاز ضمن النطاق المتأثر ويحتاج إلى ترقية عاجلة.

يمكن البحث في التكوين عن الأنماط add authentication samlAction وadd authentication vserver وadd vpn vserver. هذه المؤشرات تكشف مكونات ذات صلة، لكنها لا تستبدل مطابقة البناء ونوع الإصدار وشروطه.

الإصدارات المصححة وحدود كل فرع

الإصدارات المصححة هي 14.1-73.32 أو أحدث لأجهزة NetScaler ADC وNetScaler Gateway على الفرع 14.1، و13.1-63.21 أو أحدث ضمن الفرع 13.1. أما NetScaler ADC 14.1-FIPS فيتطلب 14.1-73.32 FIPS أو أحدث، وتحتاج مسارات 13.1-FIPS و13.1-NDcPP إلى 13.1-37.277 أو أحدث.

تصف نشرة المورد النسخ الواقعة قبل هذه الحدود بأنها متأثرة؛ لذلك يعد البناء الحدّي نفسه مصححًا، لا جزءًا من النطاق الضعيف. ويجب الحفاظ على لاحقة FIPS أو NDcPP عند المقارنة، لأن تطبيق حد الفرع القياسي على مسار امتثال مختلف قد ينتج تصنيفًا خاطئًا.

صدرت الرقع في 19 أغسطس 2026، ثم نشرت كندا وأستراليا تنبيهين جديدين في 4 سبتمبر. وأوصى المركز الأسترالي للأمن السيبراني بتقييم الشبكات بحثًا عن النسخ الضعيفة وتحديث المنتجات المتأثرة، مع مطالبة المؤسسات التي تعتمد على مزود خارجي بالتأكد من تطبيق الرقع ومراقبة النشاط المشبوه.

ما الذي يجب فحصه بعد الترقية؟

نجاح تثبيت الحزمة ليس نهاية التحقق. يجب التأكد من أن كل جهاز عاد فعليًا بالبناء المصحح الصحيح، بما في ذلك العقد الثانوية وأجهزة التعافي والمثيلات التي يديرها طرف ثالث، ثم إعادة الجرد لمنع بقاء عقدة على بناء أقدم.

تأتي بعد ذلك مراجعة سجلات المصادقة ونشاط الشبكة حول الفترة السابقة للتحديث واللاحقة له. يرتبط نطاق المراجعة بما كشفه فحص التكوين: جلسات VPN عند تشغيل الجهاز كبوابة وصول، وأحداث AAA، وتدفقات SAML عندما يكون إجراء SAML جزءًا من المسار المتأثر.

الإصلاح يغلق الثغرة في البرمجيات، لكنه لا يثبت عدم وقوع نشاط قبل الترقية. إذا ظهرت دلائل على وصول غير مصرح به أو سلوك غير معتاد، ينبغي الانتقال إلى إجراءات الاستجابة للحوادث الخاصة بـNetScaler بدل اعتبار رقم البناء الجديد دليلًا على سلامة الفترة السابقة.

ما أصبح مؤكدًا بعد تنبيه 4 سبتمبر

المؤكد هو توافر إصلاحات للفروع المدعومة الواردة في النشرة، ورفع المركز الكندي أولوية ترقيع الأنظمة المتأثرة إلى المستوى الطارئ، بالتوازي مع تنبيه أسترالي يدعو إلى تطبيق الرقع بأولوية. أما تصنيف جهاز بعينه فيظل معتمدًا على البناء الكامل ودوره وإعدادات SAML المناسبة لذلك البناء.

وبذلك لا يصلح اسم الفرع وحده قرارًا تشغيليًا. الجهاز المدار ذاتيًا، الذي يعمل ببناء أقدم من الحد المصحح ويطابق شروط Gateway أو AAA وSAML الخاصة بمساره، يحتاج إلى الترقية العاجلة؛ أما الاستبعاد فيجب أن يستند إلى توثيق هذه العناصر نفسها، لا إلى رقم إصدار مختصر.

اقرأ أيضًا:

• CISA تضع مهلة 29 أغسطس لإغلاق ثغرة NetScaler المستغلة
• Google يضع ضوابط لفاتورة وكلاء Gemini قبل أن تتضخم