Citrix NetScaler ADC ve Gateway'deki güvenlik açıkları örnekleri çevrim dışı bırakabilir

Citrix, Citrix NetScaler ADC ve Citrix NetScaler Gateway'deki 28 güvenlik açığı için güvenlik yaması yayımladı. Dokuz açık kritik düzeyde ve bazıları hizmet reddine neden olmak veya etkilenen örnekleri çökertmek için kullanılabilir. NetScaler örnekleri içeren Hibrit Secure Private Access ortamları da etkilenir.

Kritik açıklar ve yapılandırma gereksinimleri

CVE-2026-120868 her iki ürünü varsayılan yapılandırmada etkiler ve paket işleme sürecinde yer alır; bir bellek hatası öngörülemeyen davranışa veya hizmet reddine yol açabilir. Diğer kritik hizmet reddi sorunları belirli ayarlar gerektirir; örneğin CVE-2026-107409 için DNS-over-HTTPS üzerinden DNS yük dengeleme veya CVE-2026-107408 için özyinelemeli DNS çözümlemesiyle DNS yük dengeleme. CVE-2026-107412, 9,5 CVSS puanıyla kritik olarak derecelendirilir ve NetScaler'ın ağ geçidi (SSL VPN, ICA Proxy, CVPN, RDP Proxy) veya AAA sanal sunucusu olarak yapılandırılmış olmasını gerektirir.

Diğer önem düzeyleri ve yerel erişim sorunu

Kalan güvenlik açıklarının çoğu yüksek önem düzeyinde derecelendirilir; bunlar arasında CVE-2026-120861 gibi hizmet reddi durumları yer alır. Dört güvenlik açığı orta düzeydedir. Orta düzeydeki CVE-2026-111348 sorunu, kimlik doğrulama verilerinin bir günlük dosyasına yazılmasına yol açabilir; ancak saldırganların bunu okuyabilmesi için yerel erişime ihtiyaç vardır.

Yamalı sürümler ve güncelleme takvimi

Örnekleri korumak için yöneticilerin şu sürümlerden birini veya daha yenisini kurması gerekir: Citrix NetScaler ADC ve Citrix NetScaler Gateway 14.1-73.57; Citrix NetScaler ADC ve Citrix NetScaler Gateway 13.1-64.39; Citrix NetScaler ADC 14.1-FIPS 14.1-73.58 FIPS; ve Citrix NetScaler ADC 13.1-FIPS ve 13.1-NDcPP 13.1-37.293. Citrix ayrıca kendi yönettiği bulut hizmetlerini de günceller. Citrix, bundan sonra güvenlik yamalarını aylık olarak sabit bir takvime göre, Patch Tuesday'e mümkün olduğunca yakın olacak şekilde yayımlayacağını; aktif istismar gibi acil durumlarda plan dışı güncellemelerin de mümkün olduğunu söylüyor. En son yamalar bu programın ilk yamalarıdır.

Keşif ve istismar durumu

Citrix henüz güvenlik açıklarının saldırganlar tarafından istismar edildiği vakalar bildirmedi. Şirket, güvenlik açıklarından bazılarını yapay zekâ destekli kod analizi kullanarak keşfettiğini söylüyor. Kritik bir Citrix NetScaler güvenlik açığı da Ekim ayının başlarında manşetlere çıkmıştı.

Önceki haberler: Citrix, SAML dağıtımlarını etkileyen istismar edilmiş NetScaler sıfır gün açığını düzeltti

Kaynaklar: heise online · CERT-EU · Citrix