What should I do next in practice?

הנזק העיקרי: עקיפה מוחלטת של אימות דו שלבי (MFA) באמצעות גניבת טוקני סשן, גניבת פרטי מנהלים וחשבונות שירות, ופגיעה בשרשרת הזהויות (Identity Path) המחייבת איפוס כל הסודות שנחשפו.

studio
global Ask Studio Global AI

AnswersPublished2 months agoLast edited 2 months ago22 sources

האזהרה החמורה: פרצת אבטחה קריטית ב-Citrix NetScaler מאפשרת גניבת זהויות ללא סיסמה

CVE 2026 3055 היא פרצת קריאת זיכרון חריגה (Memory Overread) בדרגת חומרה קריטית (9.3) ב Citrix NetScaler ADC ו Gateway, המאפשרת לתוקף לא מזוהה לדלוף טוקני גישה, פרטי התחברות LDAP ומפתחות הצפנה ישירות מהזיכרון. ניצול ראשון תועד תוך 4 ימים מהפרסום הרשמי (27 במרץ 2026), ומאז החלו סריקות המוניות וגל תקיפה רחב היקף בתחילת...

Search & fact-check with Studio Global AI Browse more Trending pages

Research answer

Key takeaways

CVE 2026 3055 היא פרצת קריאת זיכרון חריגה (Memory Overread) בדרגת חומרה קריטית (9.3) ב Citrix NetScaler ADC ו Gateway, המאפשרת לתוקף לא מזוהה לדלוף טוקני גישה, פרטי התחברות LDAP ומפתחות הצפנה ישירות מהזיכרון.
ניצול ראשון תועד תוך 4 ימים מהפרסום הרשמי (27 במרץ 2026), ומאז החלו סריקות המוניות וגל תקיפה רחב היקף בתחילת יוני, תוך שימוש ברשתות פרוקסי אזרחיות להסתרת מקור התקיפה.
הנזק העיקרי: עקיפה מוחלטת של אימות דו שלבי (MFA) באמצעות גניבת טוקני סשן, גניבת פרטי מנהלים וחשבונות שירות, ופגיעה בשרשרת הזהויות (Identity Path) המחייבת איפוס כל הסודות שנחשפו.
ההמלצה הדחופה: להתקין את העדכון תוך 24–48 שעות במכשירים החשופים לאינטרנט, לאפס את כל טוקני הגישה ולבצע רוטציה לכל הסודות שהיו בזיכרון המכשיר.

Conceptual visualization of the CitrixBleed 3 memory overread vulnerability CVE-2026-3055 affecting Citrix NetScaler ADC and Gateway appliances — Search & fact-check with cited sources for What is CVE-2026-8451, a newly disclosed memory-disclosure vulnerability in Citrix NetScaler applCVE-2026-3055 represents the third major memory disclosure vulnerability in the Citrix NetScaler Bleed series, carrying a CVSS score of 9.3 and enabling unauthenticated session token theft.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is CVE-2026-8451, a newly disclosed memory-disclosure vulnerability in Citrix NetScaler appl. Article summary: **Correction:** The CVE you asked about — **CVE-2026-8451** — does not appear in any current security advisory or disclosure. The vulnerability being actively discussed under the "CitrixBleed 3" name is **CVE-2026-3055**. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, ch
openai.com

תיקון חשוב: אין פגיעות בשם CVE-2026-8451. הפגיעות הנקראת "CitrixBleed 3" היא CVE-2026-3055 (בצוותא עם CVE-2026-4368). מאמר זה מסקר את CVE-2026-3055 בלבד.

מהי CVE-2026-3055?

CVE-2026-3055 היא פגיעות קריטית (CVSS 9.3) מסוג קריאת זיכרון חריגה (Memory Overread) ללא צורך באימות מקדים, ב-Citrix NetScaler ADC ו-NetScaler Gateway . היא מאפשרת לתוקף מרוחק ולא מזוהה לדלוף מידע רגיש מזיכרון המכשיר, כולל טוקני גישה פעילים ופרטים אישיים. Citrix חשפה את הפגיעות ב-23 במרץ 2026 בהודעת CTX696300 . זוהי הפגיעות השלישית בשורת פגיעויות "Bleed" דומות, לאחר CVE-2023-4966 ("CitrixBleed") ו-CVE-2025-5777 ("CitrixBleed 2") .

פירוט טכני

גורם שורש

תקלוט (Validation) לא מספק של קלט מוביל לקריאת זיכרון מחוץ לתחום (Out-of-Bounds Read, CWE-125) . המכשיר לא מאמת כראוי פרמטרים מסוימים בבקשות אימות SAML ו-WS-Federation.

וקטורי תקיפה

שליחת בקשת HTTP פגומה לנתיב /saml/login ללא השדה AssertionConsumerServiceURL
שליחת בקשת HTTP פגומה לנתיב /wsfed/passive?wctx עם ערך ריק wctx

בקשות פגומות אלו גורמות לקריאה חריגה בזיכרון, והמכשיר מחזיר בתגובת ה-HTTP את תוכן הזיכרון שנקרא .

מורכבות ניצול

הניצול מוגדר כ"פשוט ביותר" — בקשת HTTP GET או POST בודדת וללא אימות מספיקה . אין צורך בכלים מיוחדים, אישורי גישה או אינטראקציה של משתמש .

מידע שנדלף

טוקני גישה פעילים: עוגיות NSC_AAAC, NSC_TMAS, NSC_TASS
פרטי התחברות LDAP (שם משתמש וסיסמה)
מפתחות חתימה SAML
סודות אחרים המצויים בזיכרון התהליך

המידע שדלף מופיע מוצפן בקידוד base64 בתוך תגובת NSC_TASS .

ציר זמן ניצול

תאריך	אירוע
2026-03-23	Citrix מפרסמת הודעת אבטחה CTX696300 ומשחררת תיקונים
2026-03-27	watchTowr Labs מאשרת גילוי סריקות וניצול מכתובות IP של קבוצות תקיפה ידועות — 4 ימים בלבד לאחר החשיפה
2026-03-30	מספר חברות אבטחה מאשרות ניצול פעיל בשטח
2026-03-31	CISA מוסיפה את CVE-2026-3055 לקטלוג הפגיעויות המנוצלות הידועות (KEV)
אפריל-מאי 2026	נצפו סריקות המוניות; קוד מוכח-מושג (PoC) וקוד ניצול מופצים ברבים
תחילת יוני 2026	קמפיין ניצול רחב היקף נכנס לגל חדש, המכוון למכשירים שלא תוקנו

תשתית תקיפה

רשתות פרוקסי אזרחיות

תוקפים עשו שימוש באלפי כתובות IP של פרוקסי ביתי (Residential Proxies) לצורך סריקות וניצול, מה שהופך חסימה לפי IP לבלתי אפקטיבית .

כתובות IP של תוקפים ידועים

watchTowr דיווחה על כתובות IP ספציפיות המקושרות לקבוצות תקיפה מוכרות שהחלו בניצול ב-27 במרץ .

סריקות אוטומטיות

פלטפורמות מודיעין איומים כמו GreyNoise זיהו סריקות המוניות לנתיבים פגיעים (/saml/login, /wsfed/passive) תוך ימים מהחשיפה .

השפעה

חטיפת סשן ועקיפת MFA

תוקפים יכולים לגנוב טוקני גישה פעילים מהזיכרון ולהשתמש בהם כדי להתחבר כמשתמשים פעילים, תוך עקיפה מלאה של אימות דו-שלבי .

גניבת פרטי כניסה

פרטי התחברות LDAP ומפתחות חתימה SAML בזיכרון ניתנים גם הם להעתקה, מה שמאפשר תנועה רוחבית וגישה מתמשכת .

פגיעה בשרשרת הזהויות (Identity Path)

מכיוון שהפגיעות מדליפה חומר משרשרת ספק הזהויות, נדרש איפוס של כל הסודות שעברו בשרשרת זו לאחר אירוע אבטחה .

היקף

כל מכשירי NetScaler ADC ו-NetScaler Gateway המוגדרים כשרת Gateway וירטואלי או AAA Virtual Server (תפקיד ספק זהויות חשוף לאינטרנט) מושפעים .

המלצות תיקון

1. התקנת תיקון מיידית (תוך 24–48 שעות למכשירים חשופים לאינטרנט)

יש להתקין את הגרסאות המתוקנות ששוחררו ב-23 במרץ 2026.
הגרסאות המתוקנות (לפי הודעת Citrix CTX696300):

NetScaler ADC & Gateway 14.1-66.59 ואילך
NetScaler ADC & Gateway 14.1-60.58
NetScaler ADC & Gateway 13.1-62.23 ואילך
NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. איפוס כל טוקני הגישה

לאחר התקנת התיקון, יש לבטל את כל העוגיות NSC_AAAC, NSC_TMAS, NSC_TASS הקיימות ולחייב את כל המשתמשים להתחבר מחדש .

3. איפוס כל הסודות בשרשרת הזהויות

יש לבצע רוטציה לפרטי התחברות LDAP, מפתחות חתימה SAML, סיסמאות חשבונות שירות (Service Accounts) וכל סוד אחר שהיה בזיכרון המכשיר במהלך חלון החשיפה .

4. פריסת חתימות גילוי

יש לנטר:

בקשות חריגות לנתיבים /saml/login ו-/wsfed/passive
תגובות HTTP גדולות מהרגיל
שימוש חוזר לא צפוי בטוקני גישה

5. הפרדת רשת (Segmentation)

יש לבודד את מכשירי NetScaler מהרשת הפנימית במידת האפשר, ולהגביל את הקישוריות היוצאת מהמכשיר .

6. התחשבות בפתרונות עוקפים זמניים (Workarounds)

במידה וההתקנה מתעכבת, יש להשבית את נקודות הקצה SAML ו-WS-Federation ב-Gateway, או להגביל את הגישה אליהן באמצעות כללי WAF/Reverse Proxy. עם זאת, התקנת התיקון היא הפתרון היחיד והמלא .

Studio Global AI

Continue your research

This page includes a source-backed answer you can continue inside Studio Global.

Search & fact-check with Studio Global AI

Sources