Citrix için Güvenlik Zafiyeti Yayınlandı

Citrix, NetScaler ADC ve NetScaler Gateway ürünlerini etkileyen toplam 6 güvenlik açığı yayımladı. Açıklar; yetkisiz dosya okuma, bellek taşması (memory overflow), bellekten hassas veri okunması (memory overread) ve hizmet engelleme (DoS) saldırılarına yol açabilecek riskler içeriyor. Kurumsal ortamlarda yaygın olarak kullanılan NetScaler cihazlarını yöneten sistem yöneticilerinin güncellemeleri mümkün olan en kısa sürede uygulaması tavsiye edilmektedir.

https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696604

Etkilenen Güvenlik Açıkları

• NetScaler ADC ve NetScaler Gateway 14.1  14.1-72.61 öncesi
• NetScaler ADC and NetScaler Gateway 13.1 13.1-63.18 öncesi
• NetScaler ADC FIPS 14.1-72.61 FIPS öncesi
• NetScaler ADC FIPS ve NDcPP 13.1-37.272 öncesi

Citrix tarafından yayımlanan güvenlik bülteninde aşağıdaki CVE kayıtlarının özellikleri şu şekildedir:

• CVE-2026-8655 (CVSS 8.8): Belirli NetScaler yapılandırmalarında bellek taşmasına neden olarak cihazın beklenmeyen davranışlar sergilemesine veya hizmet engelleme (DoS) saldırılarına maruz kalmasına imkan tanıyor.
• CVE-2026-10816 (CVSS 7.7): Yönetim erişimi açık olan NSIP, Cluster Management IP veya SNIP arayüzleri üzerinden kimlik doğrulaması gerektirmeden dosya okunmasına olanak sağlayabiliyor.
• CVE-2026-8451 (CVSS 8.8): SAML Identity Provider (IdP) yapılandırmalarını etkileyen bellekten veri okunması (memory overread) zafiyeti.
• CVE-2026-8452 (CVSS 8.8): Bellekten veri sızdırılmasına neden olabilecek başka bir bellek okuma açığı.
• CVE-2026-10817 (CVSS 6.9): Belirli yapılandırmalarda hizmet kesintisine yol açabilecek güvenlik zafiyeti.
• CVE-2026-13474 (CVSS 8.7): Belirli koşullar altında DoS etkisi oluşturabilecek ek bir güvenlik açığı.

Yetkisiz Dosya Okuma

Yayınlanan açıklar arasında özellikle CVE-2026-10816, saldırganların herhangi bir kimlik doğrulaması olmadan sistem dosyalarını okuyabilmesine imkan tanıyabilmesi nedeniyle öne çıkıyor. Bu zafiyet yalnızca aşağıdaki yönetim arayüzlerinden birine erişim mümkün olduğunda istismar edilebiliyor:

• NSIP
• Cluster Management IP
• Yönetim erişimi etkinleştirilmiş SNIP

Yönetim arayüzlerinin internetten erişilebilir olması durumunda risk seviyesi önemli ölçüde artıyor. Bültende yer alan bellek okuma (memory overread) açıkları, daha önce büyük çaplı saldırılarda kullanılan CitrixBleed güvenlik açıklarıyla benzer özellikler taşıyor. Bellekten veri okunabilmesi; oturum belirteçlerinin (session token), kimlik doğrulama bilgilerinin, hassas uygulama verilerinin ele geçirilmesine zemin hazırlayabilir. Bu nedenle güvenlik araştırmacıları yeni açıkları dikkatle takip ediyor. Şu an için Citrix, bu yeni açıkların aktif olarak istismar edildiğine dair resmi bir açıklama yapmış değil. Ancak geçmiş CitrixBleed saldırıları nedeniyle güvenlik topluluğu bu açıkları yüksek öncelikli olarak değerlendiriyor.

Alınacak Aksiyonlar

Etkilenen versiyonlar için acil olarak sistemlerin güncellenmesi gerekmektedir. Güncelleme işleminden sonra cihazlar üzerinde patch ile gelecek Http2SmallWndTimeout parametresinin http strict profili kullanılmayan profiller üzerinde güncellenmesi gerekiyor.

NetScaler ADC ve NetScaler Gateway14.1-72.61 ve sonraki 14.1 sürümleri
NetScaler ADC ve NetScaler Gateway13.1-63.18 ve sonraki 13.1 sürümleri
NetScaler ADC 14.1-FIPS14.1-72.61 FIPS ve sonraki 14.1-FIPS sürümleri
NetScaler ADC 13.1-FIPS ve 13.1-NDcPP13.1.37.272 ve sonraki 13.1-FIPS ile 13.1-NDcPP sürümleri

Güncelleme sonrasında HTTP Strict Profile kullanılan profillerde Http2SmallWndTimeout değeri default 30 olarak güncellenmektedir.
HTTP Strict Profile kullanılmayan profillerde bu değer default 0 olarak geldiği için aşağıdaki komut satırı ile güncelleme sağlanmalıdır.

set ns httpProfile < profil name> -http2SmallWndTimeout < saniye değeri >
Örnek kullanım: set ns httpProfile test -http2SmallWndTimeout 30