Citrix NetScaler'da SAML kullanan cihazları çökerten açık saldırılarda kullanılıyor

Citrix, NetScaler ADC ve NetScaler Gateway cihazlarında saldırılarda kullanılan yeni bir açığı kapattı. CVE-2026-88779 numaralı açık, cihazların SAML ile oturum açma işlemlerini yürüten bölümündeki bir bellek hatasından kaynaklanıyor. Kimliği doğrulanmamış bir saldırgan, özel hazırlanmış isteklerle cihazın ya da ilgili servisin çökmesine yol açabiliyor. Açığın kod çalıştırmaya izin verdiğine dair bir bilgi yok, ancak tekrar tekrar tetiklendiğinde uzaktan erişim portallarını ve bu cihaza bağlı uygulamaları kullanılamaz hale getirebiliyor. CVSS 4.0 puanı 8.7.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) açığı 4 Ekim’de aktif istismar edilen açıklar kataloğuna ekledi ve ABD federal kurumlarına 7 Ekim’e kadar süre verdi. Açığın hedefli saldırılarda kullanıldığı bildiriliyor.

Bu, Citrix’in son iki haftada NetScaler için yayımladığı ikinci bülten. 27 Eylül’de kapatılan ve komut çalıştırmaya izin veren iki açığı önceki yazımızda anlatmıştık. O yamayı kuranlar da bu açığa karşı yeniden güncelleme yapmak zorunda.

Etkilenen sürümler

Açık sadece SAML kimlik doğrulaması kullanan cihazları etkiliyor. Cihazın yapılandırmasında add authentication samlAction (cihaz hizmet sağlayıcı olarak çalışıyorsa) ya da add authentication samlIdPProfile (cihaz kimlik sağlayıcı olarak çalışıyorsa) satırlarından biri varsa cihaz risk altında.

• NetScaler ADC ve Gateway 14.1: 14.1-73.41 öncesi
• NetScaler ADC ve Gateway 13.1: 13.1-64.28 öncesi
• NetScaler ADC 14.1-FIPS: 14.1-73.41-FIPS öncesi
• NetScaler ADC 13.1-FIPS ve 13.1-NDcPP: 13.1-37.282 öncesi

Önerilen önlemler

SAML kullanan cihazlarda yukarıdaki sürümlere ya da daha yenilerine geçmek gerekiyor. Citrix bülteninde yama dışında bir geçici önlem önerilmiyor. Güncellemeden sonra cihazdaki beklenmedik yeniden başlatmaları, çökme kayıtlarını ve SAML ile ilgili oturum açma hatalarını gözden geçirmek, açığın daha önce kullanılıp kullanılmadığını anlamaya yardımcı olur.