Citrix, NetScaler için acil güncellemeler yayınladı: CVE-2026-88779 zafiyeti keşfedildi

Citrix, NetScaler cihazlarında tespit edilen ve hedefli saldırılarda kullanılan CVE-2026-88779 zafiyeti için acil güncellemeler yayınladı. Bu zafiyet, SAML kimlik doğrulaması kullanan NetScaler ADC ve NetScaler Gateway cihazlarını etkileyen bir bellek tampon hatası olarak tanımlanıyor.

Citrix'in güvenlik danışmanlığı, bu zafiyetin 8.7 CVSS puanına sahip olduğunu ve müdahale edilmemiş NetScaler dağıtımlarında hizmet reddi koşullarına yol açtığını belirtiyor. Şirket, bu zafiyetin hedefli saldırılarda kullanıldığını ve tekrar eden tetiklemelerin hizmetin sürekli olarak kullanılamaz hale gelmesine neden olabileceğini ifade etti.

Citrix, zafiyeti gidermek için NetScaler ADC ve NetScaler Gateway'in 14.1-73.41 ve 13.1-64.28 sürümlerini pazar gününün erken saatlerinde yayınladı. FIPS dağıtımları için, müşterilerin 14.1-73.41 FIPS sürümüne yükseltmeleri gerektiği vurgulandı.

Ayrıca, Citrix, bilinen kötü niyetli IP adreslerinden erişimi engelleyen Global Deny Listeler sunarak kullanıcıların güvenliğini artırmayı hedefliyor. Ancak, şirket, müşterilerine en kısa sürede yeni güvenlik güncellemelerini yüklemelerini öneriyor.

Örgütler, cihazlarının bu zafiyete karşı savunmasız olup olmadığını SAML kimlik doğrulamasının yapılandırılıp yapılandırılmadığını kontrol ederek belirleyebilir. Ne yazık ki, yakın zamanda NetScaler cihazlarını güncelleyerek iki aktif zafiyeti gidermiş olan kullanıcıların, bu yeni zafiyeti kapatmak için tekrar güncelleme yapmaları gerekiyor.

Citrix, CVE-2026-88779'u hizmet reddi zafiyeti olarak tanımlasa da, NetScaler yöneticileri ve siber güvenlik araştırmacıları, bu zafiyetin uzaktan kod çalıştırma için de kullanılabileceğini gösteren etkinlikler gözlemledi. Yeni saldırılar, geçtiğimiz Perşembe günü, yeni yamalar uygulanmış cihazların beklenmedik bir şekilde yeniden başlatıldığını bildiren NetScaler yöneticileri tarafından ilk kez rapor edildi.

Bir Reddit kullanıcısı, NetScaler 14.1-73.37 sürümünü kullanan çok sayıda müşterinin, o dönemde mevcut olan en son güvenlik güncellemelerini yüklemelerine rağmen sürekli yeniden başlatma sorunları yaşadığını bildirdi. Diğer yöneticiler de benzer sorunlar yaşadıklarını belirtti ve bazıları sıfırdan yeniden yapılandırılan cihazlarda bile bu durumun meydana geldiğini ifade etti.

Yönetici, bu olayları araştırırken, kimlik doğrulama kullanıcı adlarında shell komutları içeren kötü niyetli isteklerin görüldüğünü ve bu komutların belirli bir IP adresinden bir yük indirdiğini belirtti. Ancak, bu isteklerin, nsaaad çökme dizileri öncesinde göründüğü ve bu komutların başarılı bir şekilde çalıştırılıp çalıştırılmadığına dair kesin bir bilgi bulunmadığı ifade edildi.