Citrix, 27 Eylül 2026’da NetScaler ADC ve NetScaler Gateway için kritik bir güvenlik bülteni yayımladı. Bülten sekiz açığı kapsıyor; bunlardan ikisinin, CVE-2026-88771 ve CVE-2026-88772’nin, önlem alınmamış kurulumlarda istismar edildiği üretici tarafından doğrulanmış durumda. Düzeltmeler 14.1-73.37 ve 13.1-64.23 sürümlerinde.
Ne oldu
En ağır iki kayıt CVSS 4.0 ölçeğinde 9,5 puan aldı. CVE-2026-88771, kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma (girdi doğrulama hatası, CWE-20); CVE-2026-88772, uzaktan kod çalıştırmaya ya da hizmet dışı kalmaya yol açabilen bellek taşması (CWE-119). Citrix, her ikisinin de yamasız NetScaler kurulumlarında kullanıldığını gözlemlediğini yazıyor.
Diğer altı kayıt: CVE-2026-88773 HTTP istek kaçakçılığı (9,3); CVE-2026-88774 HTTP URL tabanlı ifadelerle özellik ilkesi atlatma (7,0); CVE-2026-88775, CVE-2026-88776 ve CVE-2026-88777 farklı bileşenlerde bellek taşmaları (her biri 8,8; biri Oracle yük dengeleme sanal sunucusunda, biri HTTP dışı 7. katman özelliklerinde); CVE-2026-88778 TCP başlangıç sıra numarası tahmini (8,8). Bu altısı için bültende istismar bilgisi yok. Açıkları JPMorgan Chase XOR ekibinden Michael Tucker ve Chew Keong Tan ile Maxim Suhanov bildirdi.
Kimleri etkiler
NetScaler ADC ve Gateway, kurumların uzaktan erişim, uygulama yayımlama ve yük dengeleme için internete açtığı cihazlar; bu yüzden geçmişte de hedefli saldırıların ilk basamağı oldular. Etkilenen sürümler: 14.1 dalında 14.1-73.37 öncesi, 13.1 dalında 13.1-64.23 öncesi, FIPS yapılarında 14.1-73.37 FIPS öncesi ile 13.1-FIPS ve 13.1-NDcPP’de 13.1-37.279 öncesi. Citrix, Secure Private Access hibrit kurulumlarının da etkilendiğini belirtiyor.
Aktif istismar bilgisi, bu cihazları kullanan kurumlar için yalnız güncellemenin yeterli olmadığı anlamına geliyor: yama öncesinde cihazın ele geçirilmiş olma olasılığı ayrıca değerlendirilmeli. Üretici bültende bu amaçla izlenecek adımları ve ilgili belgeleri gösteriyor.
Üretici ne öneriyor
Citrix’in önerisi, etkilenen tüm NetScaler kurulumlarını düzeltilmiş sürümlere yükseltmek: 14.1-73.37 ve sonrası, 13.1-64.23 ve sonrası, FIPS ve NDcPP yapılarında karşılık gelen sürümler. Tek açık için ek bir yapılandırma adımı var: CVE-2026-88778 için TCP başlangıç sıra numarası üretiminin güçlendirilmiş biçime alınması gerekiyor; bu ayarın belgesi bültende bağlantılı. CVE-2026-88772 için bültendeki yapılandırma örnekleri, DTLS kapalı kurulumlarda ön koşulun oluşmadığını gösteriyor; üretici bunu bir geçici çözüm olarak sunmuyor.
Bültenin tamamı, sürüm tablosu ve ilgili yapılandırma belgeleri yan sütundaki bağlantıda. Bülten, müşterinin kendi yönettiği NetScaler kurulumlarını kapsıyor; Citrix, Citrix’in yönettiği bulut hizmetleri ve Adaptive Authentication için gerekli güncellemeleri kendi tarafında uyguladığını ayrıca belirtiyor.
