Citrix, NetScaler'da SAML kimlik doğrulamasını etkileyen sıfırıncı gün açığını yamaladı

Citrix, NetScaler ADC ve NetScaler Gateway cihazlarında saldırılarda kullanılan yeni bir sıfırıncı gün açığını kapatan güncellemeler yayımladı. BleepingComputer'ın 4 Ekim 2026 tarihli haberine göre CVE-2026-88779 koduyla izlenen bellek arabelleği açığı, Citrix tarafından hizmet engelleme (DoS) olarak sınıflandırıldı ve 8.7 önem puanı aldı. Açık, Gateway veya AAA işlevleriyle SAML kimlik doğrulaması kullanan cihazları etkiliyor.

Saldırılar ve gözlemler

Citrix, yama uygulanmamış cihazlara yönelik hedefli saldırılarda hizmet kesintileri gözlemlediğini, ancak müşteri verilerinin bütünlüğünü etkileyen bir durum tespit etmediğini açıkladı. Habere göre bazı sistem yöneticileri, yeni kurulan cihazlarda bile beklenmedik yeniden başlatmalar yaşandığını bildirdi. Bir yönetici, kullanıcı adı alanına yerleştirilmiş ve uzak bir sunucudan dosya indirip çalıştırmaya yönelik komutlar içeren istekler gördüğünü, ancak kodun çalıştığının doğrulanmadığını aktardı. Güvenlik şirketi watchTowr Labs açığı yeniden üretebildiğini açıkladı ancak teknik ayrıntı paylaşmadı. Güvenlik araştırmacısı Kevin Beaumont, yamalı bir tuzak sistemde indirilen zararlı bir dosyanın çalıştığını bildirdi ve bu açığı, başlangıçta DoS olarak tanımlanıp sonradan uzaktan kod çalıştırma için kullanılan CVE-2025-6543'e benzetti.

Güncellenmesi gereken sürümler

BleepingComputer'a göre düzeltmeler NetScaler ADC ve Gateway 14.1-73.41 ve 13.1-64.28 sürümlerinde yer alıyor; FIPS ve NDcPP müşterileri için ayrı derlemeler sunuluyor. Citrix, kısa süre önce CVE-2026-88771 ile CVE-2026-88778 arasındaki açıklar için güncelleme yapan müşterilerin, SAML yapılandırması kullanıyorlarsa yeniden güncelleme yapmaları gerektiğini belirtti. Cihazın etkilenip etkilenmediği, yapılandırmada SAML SP veya SAML IdP tanımı bulunup bulunmadığı kontrol edilerek anlaşılabiliyor.

Citrix, bilinen kötü amaçlı IP adreslerini engellemek için geçici bir önlem olarak engelleme listeleri sunsa da asıl önceliğin güncellemelerin bir an önce yüklenmesi olduğunu vurguladı. Habere göre CISA, açığı istismar edilen açıklar kataloğuna ekleyerek ABD federal kurumlarına 7 Ekim'e kadar süre tanıdı.

Kaynak: BleepingComputer