استغلال نشط لثغرتين حرجتين في أنظمة سيتريكس نتسكيلر

أكدت شركة سيتريكس في السابع والعشرين من سبتمبر استغلال ثغرتين حرجتين في أنظمة نتسكيلر إيه دي سي ونتسكيلر غيتواي، مما يتيح تنفيذ أكواد عن بُعد، وقد أصدرت الشركة تصحيحات لهذه الثغرتين إضافة إلى ست ثغرات أخرى. تؤثر إحدى الثغرتين المستغلة على جميع التوزيعات التي تعمل بالإصدارات المتأثرة، بما في ذلك تلك التي تعمل بالإعدادات الافتراضية. يقع نظاما نتسكيلر إيه دي سي ونتسكيلر غيتواي على حواف الشبكات المؤسسية، حيث يتوليان إدارة الوصول عن بُعد عبر شبكات خاصة افتراضية، وتوزيع الأحمال، ومصادقة المستخدمين. ذكرت سيتريكس في نشرة أمنية أن استغلال ثغرتي سي في إي 2026-88771 وسي في إي 2026-88772 لوحظ في التوزيعات غير المحمية، دون تحديد مدى انتشار الاستغلال أو هوية الفاعلين أو تاريخ بدايته. تعد هذه النشرة أول إشعار عام من الشركة بهذه الثغرات، مما يعني أن الهجوم وقع قبل صدور أي تصحيح، ولم تذكر الشركة أي حلول بديلة أو مؤشرات على الاختراق.

تشمل النشرة الأجهزة التي تديرها الشركات، بما في ذلك حالات استخدام نتسكيلر في نشرات الوصول الخاص الآمن الهجين، بينما تتولى سيتريكس تحديث خدماتها السحابية الخاصة ومصادقة التكيف التي تديرها. وصلت تصحيحات الإصدار 13.1 بعد انتهاء فترة الصيانة لهذا الفرع في الخامس عشر من سبتمبر وفق جدول إصدارات الشركة. أوصت سيتريكس العملاء المتأثرين بتثبيت التحديثات في أقرب وقت ممكن. أصدرت شركة ووتش تاور الأمنية بياناً في السادس والعشرين من سبتمبر رداً على شائعات حول ثغرات غير مصححة، واصفة المعلومات بأنها موثوقة رغم ندرة التفاصيل، وأشارت إلى أن الثغرتين اكتشفتا خلال تحقيقات جنائية رقمية. في نفس اليوم، أفاد مسؤولو تقنية معلومات بأن فرق الأمن لدى مورديهم اتصلوا بهم لنصحهم بإيقاف تشغيل أجهزة نتسكيلر فوراً دون تقديم تفاصيل، ولم يتضح مصدر تحذيرات الموردين. نظراً لأن الثغرات استُغلت قبل نشر التصحيح، فإن تثبيت التحديث لا يكشف عما إذا كان المهاجم قد دخل النظام مسبقاً.

في عام 2025، بعد استغلال ثغرة في نتسكيلر ضد منظمات هولندية، حذر المركز الوطني للأمن السيبراني في هولندا من أن التحديث وحده لا يزيل الخطر، لأن المهاجم قد يحتفظ بالوصول الذي حصل عليه قبل التصحيح، ونصح بتشغيل سكربتات الفحص الخاصة به. تشير وثائق هذه السكربتات إلى أنها تبحث عن ملفات تدل على الاختراق، وهي ليست مخصصة لثغرة معينة، ولا تأتي مع ضمانات بفعاليتها، وقد تم تحديث الكود آخر مرة في سبتمبر 2025. طلبت وسائل الإعلام من مجموعة سافتوير كلاود المالكة لشركتي سيتريكس ونتسكيلر، ومن شركة ووتش تاور، التعليق على الحادث، مع وعد بتحديث القصة عند تلقي ردود.