ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Citrix’in bu iki açığın sıfır gün saldırılarında fiilen istismar edildiğini doğrulamasının ardından, federal sivil hükümet kurumlarına iki kritik açıktan etkilenen Citrix NetScaler cihazlarını 30 Eylül’den önce güvence altına alma emri verdi.
CVE-2026-88771 ve CVE-2026-88772 numaralarını taşıyan iki açık, kimlik doğrulaması yapılmamış saldırganların savunmasız NetScaler cihazlarında uzaktan komut yürütmesine olanak tanıyor. İlk açık, varsayılan yapılandırmalara sahip NetScaler ADC ve NetScaler Gateway kurulumlarını etkilerken ikinci açık, Citrix’in sanal VPN sunucularında varsayılan olarak etkin olduğunu belirttiği DTLS’nin etkinleştirilmesini gerektiriyor.
CISA ne talep etti?
CISA, iki açığı Known Exploited Vulnerabilities kataloğuna ekledi ve bağlayıcı operasyonel direktif BOD 26-04 kapsamındaki kurumlara savunmasız cihazları belirtilen süre içinde düzeltme zorunluluğu getirdi. Ayrıca kullanıcıları ve sistem yöneticilerini Citrix’in yönergelerini incelemeye ve mümkün olduğunda güncellemeleri yüklemeden önce güvenlik ihlali göstergelerini kontrol etmeye çağırdı.
Ajans, güncellemenin yüklenmesinin bazı adli görünürlük unsurlarının kaybedilmesine yol açabileceği konusunda uyarıyor. Bu nedenle ihlale maruz kaldığından şüphelenen kurumlar, güncelleme öncesinde kanıtları korumalı ve gerektiğinde adli bilişim uzmanlarından yardım almalıdır.
Düzeltilen sürümler ve eski sürümlerin durumu
Citrix; NetScaler ADC ve Citrix NetScaler Gateway için 14.1-73.37 ve sonraki sürümleri ile 13.1-64.23 ve sonraki sürümlerini kapsayan güncellemeler yayımladı. Desteklenen sürümler arasında ayrıca 14.1-73.37 FIPS ve sonraki sürümlere sahip NetScaler ADC 14.1-FIPS ile 13.1.37.279 ve sonraki sürümlere sahip NetScaler ADC 13.1-FIPS ve 13.1-NDcPP bulunuyor.
12.1 ve 13.0 sürümleri destek yaşam döngülerinin sonuna ulaştı ve güvenlik güncellemeleri almıyor; Citrix, bu sürümleri çalıştıran cihazların desteklenen bir sürüme taşınmasını öneriyor.
Bu haber neden önemli?
Risk, ABD kurumlarının mevzuata uyumuyla sınırlı değil. İnternete açık NetScaler cihazları genellikle erişim noktaları veya VPN ağ geçitleri olarak çalışıyor; bu da uzaktan komut yürütme açığının istismar edilmesini kurum ağları üzerinde potansiyel etkili hale getiriyor. Shadowserver, internette açık NetScaler parmak izleri taşıyan 23 binden fazla IP adresi gözlemliyor. Bunların yaklaşık 22 bini ADC cihazı, 1500’den biraz fazlası ise Gateway cihazı; ancak yamalanan veya fiilen etkilenen cihazların sayısını belirleyen veriler bulunmuyor.
Citrix, NetScaler Console üzerinden genel güvenlik ihlali göstergeleri sağladı, ancak bunların adli değerinin sınırlı olabileceğini ve tüm ihlal vakalarını ortaya çıkarmayabileceğini kabul etti. Bu nedenle şüpheli göstergelerin görüldüğü ortamlarda yalnızca düzeltmeyi yüklemek yeterli değil; CISA ve CERT-EU, özellikle doğrudan internete bağlı cihazlarda ihlal maruziyetine ilişkin bir değerlendirme yapılmasını öneriyor.
İstismar bağlamı
Bu iki açık, yıl boyunca istismar edilen bir dizi NetScaler açığının parçası. Citrix mart ayında CVE-2026-3055 ve CVE-2026-4368 hakkında uyarıda bulundu; ardından kimlik doğrulamasını atlama açığı CVE-2026-19490’ın istismarı, ağustos ortasında düzeltilmesinin ardından eylül başında başladı. CISA, kasım 2021’den bu yana istismar edilen 26 Citrix açığını listeledi; bunlardan altısı fidye yazılımı çeteleri tarafından gerçekleştirilen saldırılarla ilişkilendirildi.