Citrix NetScaler Güvenlik Açığı: CVE-2026-88779 SAML Zero-Day

Özet

Citrix, NetScaler ADC ve NetScaler Gateway'de CVE-2026-88779 numaralı bellek arabelleği (memory buffer) açığını kapattı. Açık yalnızca cihazın SAML SP veya SAML IdP olarak yapılandırıldığı ortamlarda geçerli. Daha önce CVE-2026-88771 ile CVE-2026-88778 için güncelleme yapan müşteriler, SAML kullanıyorlarsa yeniden güncellemek zorunda. Bu yazı, CVE-2026-88771 ve CVE-2026-88772 hakkındaki önceki bültenimizin devamıdır.

• CVSS v4.0: 8,7 (Yüksek)
• Aktif istismar: Evet.
• CISA KEV: Açık 4 Ekim 2026'da kataloğa eklendi. ABD federal kurumları için son tarih 7 Ekim 2026.
• Etki: Tartışmalı. Citrix olayı hizmet dışı bırakma (DoS) olarak tanımlıyor. Bağımsız araştırmacılar farklı bulgular aktarıyor (aşağıya bakın).
• Çözüm: Düzeltilmiş sürüme yükseltme. Yama yayınlandı.

Hangi cihazlar etkileniyor?

Açık yalnızca NetScaler ADC veya NetScaler Gateway'in SAML SP ya da SAML IdP olarak yapılandırıldığı cihazlarda geçerli. Yapılandırmada şu satırlardan biri varsa cihaz bu kapsamdadır:

• add authentication samlAction
• samlIdPProfile

SAML kullanmayan cihazlar bu CVE için etkilenmez. Buna rağmen, aynı dönemde yayımlanan diğer NetScaler yamalarının durumunu ayrı kontrol edin.

Düzeltilmiş sürümler

Citrix, CVE-2026-88771 ile CVE-2026-88778 için yükselten müşterilerin, SAML kullanıyorlarsa CVE-2026-88779 için yeniden yükseltmesi gerektiğini belirtiyor.

Etki tartışması

Etkinin ne olduğu konusunda kaynaklar aynı çizgide değil. Bu bültende taraf tutulmuyor; her kaynak kendi ifadesiyle aktarılıyor.

• Citrix: Açığı hizmet dışı bırakma (DoS) olarak tanımlıyor.
• BleepingComputer: Kevin Beaumont'un, yamalanmış bal küplerinde (honeypot) zararlı yazılım çalıştığını gördüğünü; watchTowr'ın açığı yeniden ürettiğini bildiriyor.
• Beazley Security Labs: Saldırganların, açıkla zorla yaptırdıkları yeniden başlatmaları daha önceki CVE-2026-88771 günlük enjeksiyonu (log injection) yükünü tetiklemek için kullandığını yazıyor. Yamalanmış cihazlarda kod çalıştırma bulmadığını belirtiyor.

Kısaca: DoS mi, yoksa önceki yükle birlikte daha geniş bir etki mi olduğu hâlâ tartışılıyor. Operasyonel sonuç değişmiyor: SAML kullanan cihazlar düzeltilmiş sürüme geçmeli ve ele geçirilme kontrolü yapılmalı.

CVE-2026-88771 / 88772 sonrası kalıcılık (LevelBlue)

The Hacker News'in aktardığı LevelBlue gözlemlerine göre, CVE-2026-88771 ve CVE-2026-88772 istismarından sonra saldırganlar şu izleri bıraktı:

• sec_monitor adlı bir süper kullanıcı hesabı oluşturma
• /flash/nsconfig dosyasını çalma
• /bin/sh üzerinde setuid bitini açma
• Sahte CSS URL'lerine eşlenmiş PHP webshell'leri yerleştirme

Yama bu izleri temizlemez. Güncelleme sonrası cihazın temiz olduğu varsayılmamalı.

Şimdi ne yapmalısınız?

1. SAML kullanılıyor mu bakın: Yapılandırmada add authentication samlAction veya samlIdPProfile var mı kontrol edin. Varsa cihaz bu CVE için etkileniyor.
2. Düzeltilmiş sürüme yükseltin: Yukarıdaki tablodaki sürüme geçin. Daha önce 88771–88778 için yükseltmiş olsanız bile SAML kullanıyorsanız yeniden yükseltin.
3. Arka kapıları arayın: sec_monitor hesabı, /bin/sh üzerinde setuid, sahte CSS URL'lerine bağlı PHP webshell'leri ve beklenmeyen yapılandırma değişikliklerini kontrol edin.
4. Ele geçirilme bulgusu varsa: Cihazı ele geçirilmiş kabul edin ve izole edin. /flash/nsconfig içinde saklanan parolaları, sertifikaları ve sırları döndürün (rotate). Yönetici hesaplarını gözden geçirin. Şüpheli yedekten körü körüne geri yükleme yapmayın.
5. KVKK yükümlülüğünü unutmayın: Kişisel verilere erişildiyse, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılması gerekir.

Doğa Network nasıl yardımcı olabilir?

NetScaler sürüm ve SAML yapılandırma kontrolü, planlı güncelleme, sec_monitor ve webshell izlerinin aranması ile ele geçirilme sonrası kimlik bilgisi döndürme konusunda ekibimiz destek verebilir. Bize 0850 888 3642 numaralı telefondan veya hi@doga.network adresinden ulaşabilirsiniz.

Kaynaklar

• Citrix – CTX697174: NetScaler ADC and NetScaler Gateway Security Bulletin
• BleepingComputer – Citrix patches NetScaler SAML zero-day exploited in attacks
• Beazley Security Labs – BSL-A1216
• The Hacker News – Citrix NetScaler post-exploitation (LevelBlue)
• CISA – KEV kataloğuna bir açık eklendi (4 Ekim 2026)