كشفت أبحاث أمنية حديثة تفاصيل تقنية موسعة بشأن ثغرة أمنية بالغة الخطورة في منتجات Citrix NetScaler ADC وNetScaler Gateway، وهي الثغرة التي جرى استغلالها فعلياً في هجمات إلكترونية حقيقية قبل نشر التحليلات الفنية الكاملة الخاصة بها. وتحمل الثغرة المعرّف CVE-2026-88772، وحصلت على درجة خطورة مرتفعة بلغت 9.5 من 10 وفق معيار CVSS، ما يجعلها من أخطر الثغرات التي تواجه مستخدمي هذه المنصات في الوقت الراهن.
وتكمن خطورة الثغرة في قدرتها على تمكين المهاجمين من تنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى أي عملية مصادقة مسبقة، وهو ما يمنح الجهات المهاجمة فرصة مباشرة للوصول إلى الأنظمة المستهدفة والسيطرة عليها، فضلاً عن إمكانية التسبب في تعطيل الخدمات وإحداث حالات حجب للخدمة.
خلل في معالجة بروتوكول DTLS
بحسب التحليلات الأمنية، تعود جذور المشكلة إلى خطأ في معالجة بروتوكول Datagram Transport Layer Security أو DTLS داخل محرك معالجة الحزم الخاص بمنصة NetScaler والمعروف باسم NSPPE.
وأوضحت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أن الثغرة ترتبط بوجود قصور في تقييد العمليات داخل حدود الذاكرة المخصصة للتعامل مع البيانات، الأمر الذي قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد أو التسبب في انهيار الخدمة.
ويكمن الخلل الفني في اعتماد النظام على قيمة fragment_length المعلنة ضمن رأس المصافحة الخاصة ببروتوكول DTLS دون إجراء التحقق الكافي من توافقها مع الحجم الفعلي للرسالة. ففي الوقت الذي تُعلن فيه بعض الحزم أن حجم الجزء المرسل لا يتجاوز بايتاً واحداً، تشير حقول أخرى في الترويسة إلى أن الرسالة الكاملة يبلغ حجمها 120 بايتاً.
هذا التناقض في آلية التفسير يسمح للمهاجمين بإنشاء سجلات بيانات مصممة بعناية تجعل النظام يتعامل معها باعتبارها صغيرة الحجم، بينما تكون البيانات الحقيقية التي يجري نسخها إلى الذاكرة أكبر بكثير، ما يؤدي في النهاية إلى تجاوز حدود الذاكرة المخصصة ووقوع حالة Overflow.
كيف يتحول الخلل إلى تجاوز للذاكرة؟
شرح الباحث الأمني سينا خيرخاه الآلية التقنية للاستغلال موضحاً أن رسالة مصافحة واحدة بطول 120 بايت يمكن تقسيمها إلى 120 جزءاً منفصلاً، بحيث يحمل كل جزء قيمة fragment_length تعادل بايتاً واحداً فقط، بينما يستمر الحقل length بالإشارة إلى الطول الكامل للرسالة.
وعند وصول جميع الأجزاء تباعاً إلى الخادم، يعتقد النظام أن الرسالة أصبحت مكتملة ويمكن إعادة تجميعها. غير أن المشكلة تظهر أثناء عملية إعادة التجميع ذاتها، إذ تُخزّن الحزم الواردة أولاً داخل ما يعرف بمخازن NetScaler Buffers أو NSBs قبل نقلها إلى مساحة مؤقتة واحدة لا يتجاوز حجمها 35,840 بايتاً.
وفي الإصدارات المتأثرة بالثغرة لا يتحقق البرنامج من توافر مساحة كافية داخل هذه الذاكرة المؤقتة قبل إضافة البيانات الجديدة إليها. ونتيجة لذلك تستمر البيانات في التدفق والكتابة خارج الحدود المخصصة للذاكرة، ما يؤدي إلى حدوث تجاوز خطير يمكن استغلاله للتحكم في سير تنفيذ البرنامج.
وأشار الباحثون إلى أن المهاجم يستطيع، عبر استخدام 120 سجلاً خبيثاً، إقناع النظام بأن الرسالة النهائية لا تتعدى 120 بايتاً، بينما تحتوي سلسلة المخازن المرتبطة بها فعلياً على ما يقارب 174 كيلوبايت من البيانات، وهو فارق هائل يكفي لإحداث الضرر المطلوب واستغلال الثغرة بنجاح.
من تجاوز الذاكرة إلى تنفيذ الشيفرات الخبيثة
التحليل الذي نشرته شركة watchTowr كشف جانباً أكثر خطورة من القضية، إذ أثبت الباحثون إمكانية تحويل تجاوز الذاكرة الناتج عن الثغرة إلى مسار كامل لتنفيذ تعليمات برمجية عشوائية على النظام المستهدف.
ووفقاً للدراسة، يمكن للمهاجم إعادة توجيه تدفق التنفيذ داخل النظام نحو شيفرة يختارها بنفسه، مع إمكانية الحصول على صلاحيات جذرية (Root Privileges). كما تمكن الباحثون من تجاوز آليات الحماية الحديثة التي تمنع تنفيذ التعليمات داخل مناطق الذاكرة المخصصة للبيانات، وذلك عبر الاستفادة من الاستدعاء البرمجي mprotect() لتغيير صلاحيات الذاكرة وجعلها قابلة للتنفيذ.
وتعني هذه النتيجة أن الهجمات المحتملة لا تقتصر على تعطيل الخدمة أو التسبب في انهيارها، بل قد تصل إلى الاستيلاء الكامل على الأجهزة المتأثرة وتشغيل برمجيات خبيثة متقدمة أو نشر أدوات تجسس وزرع أبواب خلفية داخل الشبكات المستهدفة.
استغلال نشط وتحذيرات متزايدة
تأتي هذه التفاصيل التقنية بعد أيام من التحذيرات الأمنية المتزايدة بشأن استغلال الثغرة في هجمات فعلية. كما نشرت watchTowr نموذج إثبات مفهوم (PoC) لثغرة أخرى مرتبطة بالحادثة تحمل الرقم CVE-2026-88771، وهي ثغرة استُخدمت بالتوازي مع CVE-2026-88772 في بعض الهجمات المرصودة.
ويشير هذا التزامن إلى أن المهاجمين لا يكتفون باستغلال نقطة ضعف واحدة، بل يلجؤون إلى دمج عدة ثغرات ضمن سلسلة هجومية متكاملة ترفع من فرص النجاح وتزيد من التأثير على الأنظمة المستهدفة.
ومع استمرار ظهور تفاصيل جديدة حول آليات الاستغلال، تتجه الأنظار إلى المؤسسات التي تعتمد على Citrix NetScaler باعتباره أحد المكونات الحيوية في البنية التحتية للشبكات والوصول الآمن إلى التطبيقات والخدمات، حيث أصبحت سرعة تطبيق التحديثات الأمنية والإجراءات الوقائية أمراً بالغ الأهمية للحيلولة دون تحول هذه الثغرة إلى بوابة واسعة لاختراق البيئات المؤسسية.
