CitrixBleed 3 (CVE-2026-3055): Kritik NetScaler Açığı ve Alınması Gereken Önlemler

Düzeltme: 'CitrixBleed 3' olarak anılan güvenlik açığı CVE-2026-3055'tir. (CVE-2026-4368 ile birlikte) .

CVE-2026-3055 Nedir?

CVE-2026-3055, Citrix NetScaler ADC ve NetScaler Gateway cihazlarını etkileyen, CVSS 9.3 puanına sahip 'kritik' seviyede bir bellek okuma (memory overread) güvenlik açığıdır . Açık, kimlik doğrulaması yapılmamış saldırganların cihaz belleğinden oturum jetonları ve kimlik bilgileri gibi hassas verileri sızdırmasına olanak tanır. Citrix, 23 Mart 2026'da CTX696300 kodlu güvenlik bülteniyle açığı kamuoyuna duyurmuştur . Bu, CVE-2023-4966 ("CitrixBleed") ve CVE-2025-5777 ("CitrixBleed 2")'den sonra serinin üçüncü büyük açığıdır .

Teknik Detaylar

Kök Neden

Güvenlik açığı, yetersiz girdi doğrulaması nedeniyle ortaya çıkan bir

dış bellek okuma

İstismar Vektörleri

Saldırgan, aşağıdaki şekilde hatalı biçimlendirilmiş bir HTTP isteği göndererek açığı tetikleyebilir :

• /saml/login yoluna, AssertionConsumerServiceURL alanı olmadan istek göndermek
• /wsfed/passive?wctx yoluna, wctx değeri boş olacak şekilde istek göndermek

Bu hatalı istekler cihazın bellek sınırlarının dışına taşmasına neden olur ve cihaz, HTTP yanıtı içinde bellekteki veri parçalarını döndürür.

İstismarın Karmaşıklığı

Güvenlik araştırmacıları, açığın istismarının "son derece basit" olduğunu belirtmektedir. Tek bir HTTP GET veya POST isteği yeterlidir . İstismar için herhangi bir özel araç, kimlik doğrulama bilgisi veya kullanıcı etkileşimi gerekmez . Bu durum, açığı oldukça geniş bir saldırgan kitlesi için cazip hale getirmektedir.

Sızdırılan Veri Türleri

Açık başarıyla kullanıldığında aşağıdaki hassas bilgiler sızdırılabilir :

• Aktif oturum jetonları: NSC_AAAC, NSC_TMAS, NSC_TASS çerezleri
• LDAP bağlantı kimlik bilgileri
• SAML imzalama anahtarları
• İşlem belleğinde bulunan diğer gizli bilgiler

Sızdırılan veriler, NSC_TASS yanıtının içinde base64 formatında kodlanmış olarak görünür .

İstismar Zaman Çizelgesi

Tarih	Olay
23 Mart 2026	Citrix, CTX696300 kodlu güvenlik bültenini yayımlar ve yamaları çıkarır
27 Mart 2026	watchTowr Labs, açığın duyurulmasından sadece 4 gün sonra, bilinen tehdit aktörlerinden gelen IP adresleriyle yapılan aktif keşif ve istismar faaliyetlerini doğrular
30 Mart 2026	Birden fazla güvenlik firması, açığın kamuya açık olarak istismar edilmeye başladığını teyit eder
~31 Mart 2026	CISA (ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı), CVE-2026-3055'i Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekler
Nisan-Mayıs 2026	Kitlesel taramalar gözlemlenir; istismar kodları (PoC) ve exploitler yaygın olarak dolaşmaya başlar
Haziran 2026 Başı	Yeni bir büyük çaplı istismar dalgası başlar ve yamalanmamış cihazları hedef alır

Saldırı Altyapısı

Konut Proxy Ağları (Residential Proxies)

Saldırganlar, keşif ve istismar faaliyetlerini gizlemek için binlerce farklı konut proxy IP adresini kullanmaktadır. Bu durum, kaynak IP adresini engellemeye dayalı savunma yöntemlerini etkisiz kılmaktadır .

Bilinen Tehdit Aktörü IP'leri

watchTowr, 27 Mart'ta itibaren istismar faaliyetlerine başlayan belirli tehdit aktörü gruplarına ait kaynak IP adreslerini raporlamıştır .

Otomatik Taramalar

GreyNoise ve diğer tehdit istihbaratı platformları, açığın duyurulmasından sonraki günlerde hassas uç noktaları (/saml/login, /wsfed/passive) hedef alan otomatik taramaları tespit etmiştir .

Etkileri

Oturum Ele Geçirme ve MFA Atlatma

Saldırganlar, bellekteki aktif oturum jetonlarını çalarak meşru bir kullanıcının kimliğine bürünebilir. Bu yöntem, çok faktörlü kimlik doğrulamayı (MFA) tamamen etkisiz hale getirir .

Kimlik Bilgisi Hırsızlığı

LDAP bağlantı kimlik bilgileri ve SAML imzalama anahtarları gibi hassas veriler çalınarak, saldırganlara ağ içinde yanal hareket ve kalıcı erişim imkânı sağlanabilir .

Kimlik Yolu Güvenliğinin İhlali

Açık, kimlik sağlayıcısı (IdP) yolu üzerindeki sırları sızdırdığı için, saldırı sonrasında bu yoldaki tüm sırların (şifreler, anahtarlar) döndürülmesi (rotasyon) zorunludur .

Etki Alanı

Gateway veya AAA sanal sunucusu (İnternet'e açık kimlik sağlayıcısı) olarak yapılandırılmış tüm NetScaler ADC ve NetScaler Gateway örnekleri bu açıktan etkilenir .

Korunma Önerileri

1. Hemen Yama Uygulayın (İnternet'e Açık Cihazlar İçin 24-48 Saat İçinde)

Citrix'in 23 Mart 2026'da yayımladığı güvenlik bülteni (CTX696300) kapsamındaki düzeltilmiş sürümlere güncelleme yapılmalıdır :

• NetScaler ADC & Gateway 14.1-66.59 veya sonrası
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 veya sonrası
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Tüm Oturum Jetonlarını Döndürün

Yama uygulandıktan sonra, mevcut tüm NSC_AAAC, NSC_TMAS ve NSC_TASS çerezleri geçersiz kılınmalı ve tüm kullanıcılar yeniden kimlik doğrulamaya zorlanmalıdır .

3. Kimlik Yolundaki Tüm Sırları Döndürün

LDAP bağlantı kimlik bilgileri, SAML imzalama anahtarları, servis hesabı parolaları ve açıklığın olduğu dönemde cihaz belleğinde bulunmuş olabilecek diğer tüm sırlar değiştirilmelidir .

4. Tespit İmzaları Oluşturun

Aşağıdaki anormal durumlar izlenmelidir :

• /saml/login ve /wsfed/passive uç noktalarına yapılan şüpheli istekler
• Alışılmadık derecede büyük HTTP yanıtları
• Beklenmeyen oturum jetonu yeniden kullanımları

5. Ağ Parçalaması (Segmentasyonu)

NetScaler cihazları, mümkün olduğunca iç ağdan izole edilmeli ve cihazın dış dünyaya yaptığı çıkış bağlantıları sınırlandırılmalıdır .

6. Geçici Çözüm Yöntemlerini Değerlendirin

Yama hemen uygulanamıyorsa, SAML ve WS-Federation uç noktaları geçici olarak devre dışı bırakılabilir veya WAF/ters proxy kuralları ile erişim kısıtlanabilir. Ancak, tek kalıcı çözümün yama uygulamak olduğu unutulmamalıdır .