NetScaler açıkları için yama yayımlandı: Yöneticiler şimdi ne yapmalı?

Citrix NetScaler ADC ve NetScaler Gateway için daha önce bildirilen iki sıfır gün açığı artık yamalanmamış durumda değil. Şirket, CVE-2026-88771 ve CVE-2026-88772 açıklarının istismar edildiğini doğruladı ve 27 Eylül’de güvenlik güncellemelerini yayımladı. Yöneticilerin önceliği, cihaz sürümüne ve sürüm ailesine uygun yamayı uygulamak; ardından güncelleme öncesinde olası bir ihlal yaşanıp yaşanmadığını araştırmak olmalı. 33350

Hangi NetScaler sürümleri düzeltilmiş durumda?

Standart NetScaler ADC ve NetScaler Gateway kurulumları için Citrix’in belirttiği sabit sürümler 14.1-73.37 veya üzeri ile 13.1-64.23 veya üzeri. FIPS ve NDcPP sürümlerinin gereksinimleri ayrı: bültende 14.1-FIPS için 14.1-73.37 FIPS veya üzeri, 13.1-FIPS ve 13.1-NDcPP için 13.1.37.279 veya üzeri belirtiliyor. Cihazınızın sürüm ailesini Citrix bülteniyle karşılaştırın; standart sürüm numarasının her edisyon için geçerli olduğunu varsaymayın. 3

Özellikle 13.1 kullanan yöneticilerin dikkat etmesi gereken nokta şu: Bu açıklar için yeni hedef sürüm 13.1-64.23 veya üzeri. NetScaler’daki daha eski bir güvenlik açığını gideren güncelleme, bu iki açık için yeterli olmayabilir. 34

CVE-2026-19490’dan farklı açıklar

CVE-2026-19490 ayrı bir güvenlik sorunu. Citrix bu açığı alternatif bir yol üzerinden gerçekleşen bir kimlik doğrulama atlatma olarak tanımlıyor; istismar için belirli Gateway veya AAA sanal sunucu yapılandırmaları gerekiyor. Bu açık için belirtilen 14.1-73.32 ve 13.1-63.21 düzeltme sürümleri, yeni uzaktan kod çalıştırma açıkları için gereken sürümlerin altında kalıyor. Dolayısıyla CVE-2026-19490 için güncellenmiş bir cihazı, CVE-2026-88771 ve CVE-2026-88772’ye karşı da korumalı kabul etmeyin. 420

Mevcut haberlerde CVE-2026-88771, kimlik doğrulaması gerektirmeden saldırganın komut çalıştırmasına imkân verebilen hatalı girdi doğrulaması sorunu olarak tanımlanıyor. İki açık da uzaktan kod çalıştırma (RCE) açığı olarak bildirildi; ancak eldeki bilgiler, istismar yöntemlerini güvenilir biçimde karşılaştırmaya yetecek ayrıntıyı sunmuyor. 335054

Cihazı kapatmak mı, açık bırakmak mı?

NetScaler’ı hizmet dışına almak, uzaktan erişimi veya cihazın sunduğu uygulamaları aksatabilir. Öte yandan, Citrix’in aktif istismarı doğruladığı bu açıklara karşı korumasız bir cihazı güncellemeyi erteleyerek erişilebilir bırakmak da ciddi bir risk oluşturur. Öncelik, doğru sabit sürüme mümkün olan en kısa sürede yükseltme olmalı. Bu hemen yapılamıyorsa, operasyonel etkileri değerlendirerek dış erişimi kısıtlamayı veya cihazı geçici olarak hizmet dışına almayı düşünün. 350

Bu değerlendirme 13.1 kullananlar için de geçerli: CVE-2026-19490 için yayımlanan önceki düzeltme seviyesi, yeni RCE açıklarına karşı yeterli değil. Cihazın tam sürümünü ve edisyonunu Citrix’in güncel bülteniyle karşılaştırın. 320

Kanıtları koruyun, yama öncesi dönemi inceleyin

Güncelleme açıkları kapatır; saldırganların cihazınıza daha önce erişip erişmediğini ortaya koymaz. Operasyonel olarak mümkünse yeniden başlatma veya yükseltme gibi mevcut verileri değiştirebilecek işlemlerden önce günlükleri, yapılandırmaları ve erişilebilir diğer adli inceleme kanıtlarını koruyun. Ardından yama öncesindeki dönemde şüpheli erişim veya değişiklik olup olmadığını araştırın. İhlal şüphesi varsa olay müdahale uzmanlarından destek alın. watchTowr da kanıtların korunmasını, ihlal belirtilerinin araştırılmasını ve ardından sabit sürümlere geçilmesini öneriyor. 33

Citrix istismarı doğrulamış olsa da mevcut haberler kaç kuruluşun etkilendiğini, saldırıların arkasında kimin bulunduğunu veya istismarın ne zaman başladığını ortaya koymuyor. Yalnızca yamayı yüklemiş olmak, sistemin temiz olduğunu kanıtlamaz; etki alanı ve saldırı zaman çizelgesi de henüz bilinmiyor. 49