Citrix, BT yöneticilerini NetScaler ADC cihazlarında ve uzaktan güvenli erişim için kullanılan NetScaler Gateway çözümlerinde bulunan CVE-2026-107406 kimlikli kritik güvenlik açığı konusunda uyardı ve önerilen güncellemelerin derhâl yüklenmesi çağrısında bulundu. Sorun, hedef cihazda uzaktan komut çalıştırmak veya cihazın çökmesine yol açan bir hizmet reddi durumuna neden olmak için kullanılabilecek bir bellek taşması hatasından kaynaklanıyor.
NetScaler'ın tüm kurulumları mutlaka risk altında değil; çünkü güvenlik açığından yararlanılabilmesi için cihazın Güvenlik İddiaları Biçimlendirme Dili (SAML) protokolü kapsamında kimlik sağlayıcısı veya hizmet sağlayıcısı olarak çalışacak şekilde yapılandırılmış olması gerekiyor. Citrix, güvenlik bülteninin yayımlandığı tarih itibarıyla gerçek saldırılarda güvenlik açığının düzeltilmemiş hâlinin istismar edildiğine dair kanıt bulunmadığını söyledi. Ancak etkilenen müşterileri bülteni incelemeye ve sistemlerini mümkün olan en kısa sürede yükseltmeye çağırdı.
Citrix'in önerdiği sürümler
Şirket, sorunu gidermek için aşağıdaki sürümlerin veya daha yeni sürümlerin kullanılmasını belirledi:
- NetScaler ADC ve NetScaler Gateway 14.1-73.46 ve daha yeni sürümler.
- NetScaler ADC ve NetScaler Gateway 13.1-64.29 ve 13.1 dalının sonraki sürümleri.
- NetScaler ADC 14.1-FIPS sürüm 14.1-73.46 FIPS ve 14.1-FIPS dalının daha yeni sürümleri.
- NetScaler ADC 13.1-FIPS ve 13.1-NDcPP sürüm 13.1.37.283 ve her iki dalın sonraki sürümleri.
Bu uyarı neden önemli?
Shadowserver, internette NetScaler izleri gösteren 21 binden fazla IP adresi tespit ediyor. Bunların biraz üzerindeki 1500'ü Gateway örneği, yaklaşık 20 bini ise NetScaler ADC cihazı. Bu sayı, gerçek anlamda açıkta bulunan sistemleri, tuzak cihazları veya güncellenmiş sistemleri temsil eden cihazların sayısını göstermediği gibi bunların tamamının SAML ile ilgili ayarı kullandığını da kanıtlamıyor. Ancak olası maruz kalma yüzeyinin boyutunu ortaya koyuyor.
Düzeltme işleminin önceliği, NetScaler güvenlik açıklarının yakın dönemde istismar edilmesine ilişkin geçmiş bağlamında değerlendiriliyor. Mart ayında Citrix, CVE-2026-3055 ve CVE-2026-4368 kimlikli iki güvenlik açığının giderilmesi çağrısında bulundu; saldırganlar bu açıkları istismar etmeye birkaç gün sonra başladı. Eylül ayında şirket, CVE-2026-88771 ve CVE-2026-88772 kimlikli, uzaktan komut çalıştırma türündeki iki sıfır gün güvenlik açığı için güncellemeler yayımladı. Bu açıklar web kabukları ve tünelleme amaçlı kötü amaçlı yazılımlar dağıtmak, kimlik bilgilerini çalmak, kök yetkileriyle erişim sağlamak ve dahili ağlarda yatay hareket etmek için kullanıldı.
Citrix ayrıca ayın başlarında CVE-2026-88779 kimlikli hizmet reddi güvenlik açığı için acil güncellemeler yayımladı. Araştırmacılar ve sistem yöneticileri daha sonra bu açığın uzaktan komut çalıştırmak için de kullanılabileceğini söyledi. Kaynağa göre ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Kasım 2021'den bu yana Citrix ürünlerinde aktif olarak istismar edilen 27 güvenlik açığını listesine ekledi; bunların yedisi fidye yazılımı saldırılarıyla ilişkilendirildi.
Pratikte NetScaler yöneticilerinin öncelikle SAML ayarlarının etkin olup olmadığını doğrulaması, ardından sürüm dalını Citrix'in yönergeleriyle karşılaştırması ve uygun güncellemeyi uygulaması gerekiyor. Mevcut güvenlik açığı için doğrulanmış bir istismarın bulunmaması, ertelemenin güvenli olduğu anlamına gelmiyor; özellikle üründeki önceki güvenlik açıkları uyarı aşamasından istismar aşamasına kısa sürede geçti.