Citrix NetScaler'da 28 açık kapatıldı, biri varsayılan kurulumları da etkiliyor

Citrix, 12 Kasım’da kurumların kendi yönettiği NetScaler ADC ve NetScaler Gateway cihazları için CTX697305, NetScaler Console için CTX697320, Secure Access Client’ın Windows ve Linux sürümleri için CTX697280 ve CTX697281 numaralı güvenlik bültenlerini yayımladı. NetScaler ADC ve Gateway bülteninde 28 açık var ve Citrix etkilenen müşterilerin düzeltilmiş sürümleri en kısa sürede kurmasını istiyor.

Citrix’in blog yazısına göre şirket, duyurulan açıklar için önlenmemiş (unmitigated) bir istismardan haberdar değil ve bu nedenle saldırı göstergesi (IOC) yayımlamıyor.

Puanı en yüksek açıklar

Bültene göre dokuz açığın CVSS 4.0 puanı 9 ve üzerinde. Citrix bunları bellek taşması (memory overflow) ya da bellek bozulması olarak tanımlıyor ve öngörülemeyen ya da hatalı davranışa veya hizmet dışı kalmaya (DoS) yol açabileceklerini belirtiyor. Biri dışında hepsinin etkili olması için cihazda belirli bir özelliğin yapılandırılmış olması gerekiyor:

• CVE-2026-120868 (9.3): Paket işleme (Packet Processing) bileşeninde bellek taşması. Citrix’e göre ek bir özellik gerektirmiyor, varsayılan yapılandırma dahil bütün NetScaler ADC ve Gateway kurulumları etkileniyor.
• CVE-2026-107412 (9.5): Birden çok bellek taşması. Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ya da AAA sanal sunucusu olarak yapılandırılmış cihazları etkiliyor.
• CVE-2026-111334 (9.3): Endpoint Analysis (EPA) özelliğinde bellek taşması. EPA kullanan VPN ya da kimlik doğrulama (AAA) sanal sunucularını etkiliyor.
• CVE-2026-120864 (9.3): ICA proxy’de bellek taşması. Gateway VPN, AAA ya da HDX türünde CR sanal sunucusu yapılandırılmış cihazları etkiliyor.
• CVE-2026-107415 (9.3): E-posta ile tek kullanımlık parola (Email OTP) kimlik doğrulamasında bellek taşması. Email Action yapılandırılmış cihazları etkiliyor.
• CVE-2026-107408 ve CVE-2026-107409 (9.3): DNS ve DNS-over-HTTPS (DoH) işlemede bellek bozulması. DNS yük dengeleme ile özyinelemeli DNS çözümleme ya da HTTPS üzerinden DNS yük dengeleme kullanan cihazları etkiliyor.
• CVE-2026-107407 (9.3): SMPP trafiğinde bellek taşması. SMPP türünde yük dengeleme ya da içerik anahtarlama sanal sunucusu olan cihazları etkiliyor.
• CVE-2026-107410 (9.3): NetScaler Push’ta bellek taşması. PUSH türünde yük dengeleme sanal sunucusu olan cihazları etkiliyor.

Kalan 19 açığın puanı 6.9 ile 8.7 arasında. Bunlar arasında SAML, WebAuth, LDAP, istemci sertifikası ve bilgiye dayalı kimlik doğrulama (KBA) işlevlerinde, HTTP/2, HTTP/3 (QUIC) ve BGP işlemede ve yönetim düzleminde (management plane) bellek taşması açıkları, kimlik doğrulamayla ilgili hassas bilgilerin bir kayıt dosyasına yazılmasına yol açan CVE-2026-111338 de var.

Bülten, her açığın ön koşulunun cihaz yapılandırmasında nasıl kontrol edileceğini de gösteriyor. Citrix, ön koşulların hiçbiri karşılanmasa bile yeni sürümlerde başka güvenlik düzeltmeleri de bulunduğu için yükseltme yapılmasını öneriyor.

Düzeltilmiş sürümler

• NetScaler ADC ve Gateway 14.1: 14.1-73.57 ve sonrası
• NetScaler ADC ve Gateway 13.1: 13.1-64.39 ve sonrası
• NetScaler ADC 14.1-FIPS: 14.1-73.58 FIPS ve sonrası
• NetScaler ADC 13.1-FIPS ve 13.1-NDcPP: 13.1-37.293 ve sonrası

Bültene göre NetScaler cihazlarını kullanan Secure Private Access karma (hybrid) kurulumları da etkileniyor. Citrix’in yönettiği Secure Private Access, Gateway Service, Adaptive Authentication ve NetScaler Console Service gibi bulut hizmetleri şirket tarafından yükseltildi. Citrix’in blog yazısına göre yükseltmeden sonra açık ICA oturumları sonlanıyor ve yeniden başlatılmaları gerekiyor.

NetScaler Console ve Secure Access Client

CTX697320’ye göre NetScaler Console’daki CVE-2026-120869, kimliği doğrulanmamış bir saldırganın kimlik doğrulama denetimlerini atlatıp cihazdaki kısıtlı kaynaklara erişmesine izin veriyor. Bültendeki CVSS 4.0 puanı 9.4, CVE kaydındaki puan ise 9.3. Bültendeki puanlamaya göre saldırganın Console’a bitişik ağdan (adjacent network) ulaşabilmesi gerekiyor. CVE kaydındaki puanlama ise saldırının ağ üzerinden yapılabileceğini gösteriyor. Açık NetScaler Console 14.1-74.34 sürümüyle kapatıldı.

Citrix önce NetScaler cihazlarının, ardından Console’un yükseltilmesini öneriyor. Şirketin blog yazısına göre lisans uygulama sistemiyle (LAS) uyumlu olmayan eski bir Console sürümünden 14.1-74.34’e geçen ve hâlâ dosya tabanlı lisans kullanan müşterilerin yükseltmesi, uzatma onayı alınmadıkça engelleniyor.

Secure Access Client’ın Windows sürümündeki CVE-2026-118268, düşük yetkili yerel bir kullanıcının SYSTEM yetkisi almasına, Linux sürümündeki CVE-2026-118269 ise root yetkisi almasına izin veriyor. İkisinin de CVSS 4.0 puanı 8.5. Düzeltilmiş sürümler Windows için 26.11.1.6, Linux için 26.10.4.

Açıkları bulanlar

Citrix, ADC ve Gateway bülteninde açıkları bildiren Michael Tucker’a, JPMorgan Chase’in XOR ekibinden Chew Keong Tan’a, CapitalOne Offensive Security’den Kyle Hannon’a ve watchTowr’dan Himanshu Anand ile Sina Kheirkhah’a teşekkür ediyor. Bültene göre bazı açıkları da Citrix’in bağlı olduğu Cloud Software Group’un ürün güvenliği ekibi yapay zekâ destekli kod analiziyle buldu. Console ve Secure Access Client bültenlerindeki açıklar da bu yöntemle bulundu.

Siber Güvenlik Başkanlığı 13 Kasım’da yayımladığı TR-26-1535 numaralı bildirimde, ilgili güvenlik bülteninin incelenmesini ve gerekli güncellemelerin ivedilikle yapılmasını önerdi.