Geri
Citrix NetScaler'da haftalarca sömürülen iki sıfırıncı gün açığı
Citrix, 27 Eylül 2026'da NetScaler ADC ve NetScaler Gateway'deki iki kritik açığı duyurdu; CISA aynı gün açıkları KEV kataloğuna ekledi. Unit 42'ye göre saldırganlar açıkları duyurudan haftalar önce kullanmaya başlamıştı.
İlk keşif istekleri ağustos sonunda başladı. Bu yüzden yama yapmak tek başına yetmiyor: içeri girmiş bir saldırganı çıkarmıyor.
Açıklar
| CVE | Tür | Koşul | CVSS v4.0 |
|---|---|---|---|
| CVE-2026-88771 | Kimlik doğrulamasız uzaktan kod çalıştırma (yetersiz girdi doğrulama) | Varsayılan yapılandırma | 9.5 |
| CVE-2026-88772 | DTLS yapılandırmasında bellek taşması; RCE veya hizmet dışı bırakma | DTLS açık olmalı (VPN sanal sunucularında varsayılan açık) | 9.5 |
Etkilenen sürümler (müşteri yönetimli kurulumlar): 14.1-73.37 öncesi 14.1, 13.1-64.23 öncesi 13.1, 14.1-73.37-FIPS öncesi FIPS ve 13.1-37.279 öncesi FIPS/NDcPP sürümleri. NetScaler kullanan Secure Private Access Hybrid kurulumları da etkileniyor. Kesin koşullar için Citrix'in CTX697096 makalesine bakın.
Saldırganlar ne yaptı?
Unit 42, saldırganların cihaz günlüklerine komut yazarak (log zehirleme) bu komutları cihazdaki bir Perl betiğine çalıştırttığını tespit etti. Ardından:
/bin/shdosyasına root yetkisiyle çalışma izni verildi,- giriş sayfası dizinine CSS dosyası gibi görünen gizli bir PHP web shell bırakıldı,
- web sunucusu yapılandırması bu kabuğu çalıştıracak şekilde değiştirildi.
DTLS açığı üzerinden ise .deb paketi kılığında şifreli komut alan başka bir web shell yerleştirildi. Citrix, her cihazdaki kabuğun farklı olduğunu ve saldırganların iz silme komutları kullandığını belirtiyor. Bu yüzden bilinen göstergelerin bulunmaması, cihazın temiz olduğu anlamına gelmiyor.
Ne yapmalısınız?
- Kanıtı koruyun, sonra yamayın. Yama öncesinde sanal cihaz anlık görüntüsü, syslog ve teknik destek paketi alın.
- Düzeltilmiş sürüme geçin: 14.1-73.37 veya 13.1-64.23 ve sonrası (FIPS için yukarıdaki sürümler).
- İstismar izi arayın:
ns.logiçinde "pitboss" geçen olağandışı kayıtlar,httpaccess-vpn.logiçinde garip User-Agent değerleri,/var/netscaler/logon/LogonPoint/custom/altında beklenmeyen dosyalar,/vpn/scripts/linux/altında tanımadığınız.debpaketleri. - Uzlaşma şüphesi varsa cihazı temiz imajdan yeniden kurun, cihaz üzerinden geçen tüm kimlik bilgilerini ve oturumları yenileyin.
Nokta Guard nasıl yardımcı olur?
Dış ağ sızma testlerimizde VPN ve uzaktan erişim cihazlarınızın sürümünü ve dışarıdan görünen yüzeyini kontrol ediyoruz. Şüpheli bir cihazda adli bilişim incelemesiyle saldırganın erişim yolunu ve kalıcılık mekanizmalarını ortaya koyuyoruz.
İlgili hizmetler: Dış Ağ Sızma Testi, Sunucu ve Kurumsal Sistem İncelemesi
Kaynaklar: Unit 42 · Help Net Security