תיקון חשוב: אין פגיעות בשם CVE-2026-8451. הפגיעות הנקראת "CitrixBleed 3" היא CVE-2026-3055 (בצוותא עם CVE-2026-4368). מאמר זה מסקר את CVE-2026-3055 בלבד.
מהי CVE-2026-3055?
CVE-2026-3055 היא פגיעות קריטית (CVSS 9.3) מסוג קריאת זיכרון חריגה (Memory Overread) ללא צורך באימות מקדים, ב-Citrix NetScaler ADC ו-NetScaler Gateway ![]()
![]()
. היא מאפשרת לתוקף מרוחק ולא מזוהה לדלוף מידע רגיש מזיכרון המכשיר, כולל טוקני גישה פעילים ופרטים אישיים. Citrix חשפה את הפגיעות ב-23 במרץ 2026 בהודעת CTX696300 ![]()
![]()
. זוהי הפגיעות השלישית בשורת פגיעויות "Bleed" דומות, לאחר CVE-2023-4966 ("CitrixBleed") ו-CVE-2025-5777 ("CitrixBleed 2") ![]()
![]()
.
פירוט טכני
גורם שורש
תקלוט (Validation) לא מספק של קלט מוביל לקריאת זיכרון מחוץ לתחום (Out-of-Bounds Read, CWE-125) ![]()
![]()
. המכשיר לא מאמת כראוי פרמטרים מסוימים בבקשות אימות SAML ו-WS-Federation.
וקטורי תקיפה
- שליחת בקשת HTTP פגומה לנתיב
/saml/login ללא השדה AssertionConsumerServiceURL
- שליחת בקשת HTTP פגומה לנתיב
/wsfed/passive?wctx עם ערך ריק wctx ![]()
בקשות פגומות אלו גורמות לקריאה חריגה בזיכרון, והמכשיר מחזיר בתגובת ה-HTTP את תוכן הזיכרון שנקרא ![]()
.
מורכבות ניצול
הניצול מוגדר כ"פשוט ביותר" — בקשת HTTP GET או POST בודדת וללא אימות מספיקה ![]()
![]()
. אין צורך בכלים מיוחדים, אישורי גישה או אינטראקציה של משתמש ![]()
.
מידע שנדלף
- טוקני גישה פעילים: עוגיות NSC_AAAC, NSC_TMAS, NSC_TASS
- פרטי התחברות LDAP (שם משתמש וסיסמה)
- מפתחות חתימה SAML
- סודות אחרים המצויים בזיכרון התהליך
![]()
![]()
![]()
המידע שדלף מופיע מוצפן בקידוד base64 בתוך תגובת NSC_TASS ![]()
.
ציר זמן ניצול
| תאריך | אירוע |
|---|
| 2026-03-23 | Citrix מפרסמת הודעת אבטחה CTX696300 ומשחררת תיקונים ![]() ![]() |
| 2026-03-27 | watchTowr Labs מאשרת גילוי סריקות וניצול מכתובות IP של קבוצות תקיפה ידועות — 4 ימים בלבד לאחר החשיפה ![]() ![]() |
| 2026-03-30 | מספר חברות אבטחה מאשרות ניצול פעיל בשטח ![]() ![]() |
| 2026-03-31 | CISA מוסיפה את CVE-2026-3055 לקטלוג הפגיעויות המנוצלות הידועות (KEV) |
תשתית תקיפה
רשתות פרוקסי אזרחיות
תוקפים עשו שימוש באלפי כתובות IP של פרוקסי ביתי (Residential Proxies) לצורך סריקות וניצול, מה שהופך חסימה לפי IP לבלתי אפקטיבית ![]()
.
כתובות IP של תוקפים ידועים
watchTowr דיווחה על כתובות IP ספציפיות המקושרות לקבוצות תקיפה מוכרות שהחלו בניצול ב-27 במרץ ![]()
![]()
.
סריקות אוטומטיות
פלטפורמות מודיעין איומים כמו GreyNoise זיהו סריקות המוניות לנתיבים פגיעים (/saml/login, /wsfed/passive) תוך ימים מהחשיפה ![]()
![]()
.
השפעה
חטיפת סשן ועקיפת MFA
תוקפים יכולים לגנוב טוקני גישה פעילים מהזיכרון ולהשתמש בהם כדי להתחבר כמשתמשים פעילים, תוך עקיפה מלאה של אימות דו-שלבי ![]()
![]()
.
גניבת פרטי כניסה
פרטי התחברות LDAP ומפתחות חתימה SAML בזיכרון ניתנים גם הם להעתקה, מה שמאפשר תנועה רוחבית וגישה מתמשכת ![]()
![]()
.
פגיעה בשרשרת הזהויות (Identity Path)
מכיוון שהפגיעות מדליפה חומר משרשרת ספק הזהויות, נדרש איפוס של כל הסודות שעברו בשרשרת זו לאחר אירוע אבטחה ![]()
.
היקף
כל מכשירי NetScaler ADC ו-NetScaler Gateway המוגדרים כשרת Gateway וירטואלי או AAA Virtual Server (תפקיד ספק זהויות חשוף לאינטרנט) מושפעים ![]()
![]()
![]()
.
המלצות תיקון
1. התקנת תיקון מיידית (תוך 24–48 שעות למכשירים חשופים לאינטרנט)
יש להתקין את הגרסאות המתוקנות ששוחררו ב-23 במרץ 2026.
הגרסאות המתוקנות (לפי הודעת Citrix CTX696300):
- NetScaler ADC & Gateway 14.1-66.59 ואילך
- NetScaler ADC & Gateway 14.1-60.58
- NetScaler ADC & Gateway 13.1-62.23 ואילך
- NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262
![]()
![]()
![]()
![]()
2. איפוס כל טוקני הגישה
לאחר התקנת התיקון, יש לבטל את כל העוגיות NSC_AAAC, NSC_TMAS, NSC_TASS הקיימות ולחייב את כל המשתמשים להתחבר מחדש ![]()
![]()
.
3. איפוס כל הסודות בשרשרת הזהויות
יש לבצע רוטציה לפרטי התחברות LDAP, מפתחות חתימה SAML, סיסמאות חשבונות שירות (Service Accounts) וכל סוד אחר שהיה בזיכרון המכשיר במהלך חלון החשיפה ![]()
![]()
.
4. פריסת חתימות גילוי
יש לנטר:
- בקשות חריגות לנתיבים
/saml/login ו-/wsfed/passive
- תגובות HTTP גדולות מהרגיל
- שימוש חוזר לא צפוי בטוקני גישה
![]()
![]()
5. הפרדת רשת (Segmentation)
יש לבודד את מכשירי NetScaler מהרשת הפנימית במידת האפשר, ולהגביל את הקישוריות היוצאת מהמכשיר ![]()
.
6. התחשבות בפתרונות עוקפים זמניים (Workarounds)
במידה וההתקנה מתעכבת, יש להשבית את נקודות הקצה SAML ו-WS-Federation ב-Gateway, או להגביל את הגישה אליהן באמצעות כללי WAF/Reverse Proxy. עם זאת, התקנת התיקון היא הפתרון היחיד והמלא ![]()
![]()
.
