نشرت Citrix في 12 نوفمبر 2026 أربع نشرات أمنية تصلح 31 ثغرة في منتجاتها: 28 في NetScaler ADC وNetScaler Gateway، وواحدة في NetScaler Console، وواحدة في عميل Secure Access لـWindows وأخرى في عميله لـLinux.
أبرز ثغرات ADC وGateway هي CVE-2026-120868 بتقييم 9.3 بحسب CVSS 4.0، وهي تجاوز سعة ذاكرة في معالجة الحزم قد يسبب سلوكاً غير متوقع أو حجب خدمة. وتقول النشرة إنها تصيب كل أجهزة ADC وGateway المتأثرة بإعدادها الافتراضي دون تفعيل أي ميزة. أما أعلى تقييم في النشرة فهو 9.5 للثغرة CVE-2026-107412، وتشترط أن يكون الجهاز مهيأ كبوابة (SSL VPN أو ICA Proxy أو CVPN أو RDP Proxy) أو كخادم مصادقة AAA.
وبقية الثغرات الـ28 أخطاء ذاكرة في معظمها، تصف Citrix أثرها بسلوك غير متوقع أو حجب خدمة، وتشترط أغلبها إعداداً محدداً مثل خوادم DNS وSMPP أو تحليل الأجهزة الطرفية (Endpoint Analysis) أو مصادقة SAML وLDAP والرمز المؤقت عبر البريد. وتضم القائمة ثغرات أقل تقييماً، منها CVE-2026-111338 التي تكتب مواد مصادقة حساسة في ملف سجل ويحتاج استغلالها وصولاً محلياً.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
وفي NetScaler Console تجاوز مصادقة هو CVE-2026-120869 بتقييم 9.4، يتيح لمهاجم غير موثق الوصول إلى موارد مقيدة على الجهاز إذا استطاع الوصول إلى عنوان Console. وأصلحته Citrix في الإصدار 14.1-74.34 وما بعده.
أما عميل Secure Access فيحمل ثغرتي رفع صلاحيات محلي بتقييم 8.5 لكل منهما: CVE-2026-118268 في نسخة Windows، ترفع مستخدماً محدود الصلاحيات إلى SYSTEM، وCVE-2026-118269 في نسخة Linux، ترفعه إلى root. الإصلاح في 26.11.1.6 للأولى وفي 26.10.4 للثانية.
وإصدارات NetScaler المصلحة هي 14.1-73.57 فأحدث، و13.1-64.39 فأحدث ضمن الفرع 13.1، وللأجهزة بمعيار FIPS الإصدار 14.1-73.58، وللإصدار 13.1-FIPS وNDcPP الإصدار 13.1-37.293. وتقول Citrix إنها حدثت خدماتها السحابية التي تديرها، وإن على أصحاب الأجهزة التي يديرونها بأنفسهم الترقية، وإن الترقية تنهي جلسات ICA القائمة. وتنصح بترقية NetScaler أولاً ثم Console، بحسب مدونتها الأمنية. وتقول النشرة إن عمليات نشر Secure Private Access الهجينة التي تعتمد على أجهزة NetScaler متأثرة أيضاً، وعلى أصحابها ترقية تلك الأجهزة.
لم تذكر Citrix أي استغلال غير معالج لأي من الثغرات المعلنة. ولم تذكر النشرة حلولاً مؤقتة، وتوصي الشركة بالترقية حتى إن لم تنطبق الشروط المسبقة، لأن الإصدارات الجديدة تتضمن إصلاحات إضافية. مع الإشارة إلى أن فريق أمن المنتجات لديها كشف عدداً من الثغرات بتحليل كود بمساعدة الذكاء الاصطناعي، في حين ساهم بالباقي باحثون من فريق XOR في JPMorgan Chase ومن Capital One ومن watchTowr.
