Citrix, kod yürütmeye yol açabilen kritik NetScaler SAML açığını yamaladı

Citrix, NetScaler ADC ve NetScaler Gateway'deki bir güvenlik açığı olan CVE-2026-107406 için bir güvenlik bülteni yayımladı. Bülten, açığı uzaktan kod yürütmeye veya hizmet reddine yol açabilen bir bellek taşması olarak tanımlıyor, bellek arabelleği zayıflıklarından oluşan bir sınıf olan CWE-119 altında sınıflandırıyor ve ona 9,5 CVSS v4.0 temel puanı veriyor. Bülten yalnızca müşterilerin kendilerinin işlettiği cihazları kapsıyor; Citrix'in arkasındaki şirket olan Cloud Software Group, güncellemeleri Citrix'in kendisinin yönettiği bulut hizmetlerine ve Adaptive Authentication'a uyguladığını belirtiyor.

Bir cihaz yalnızca SAML hizmet sağlayıcısı (SP) veya SAML kimlik sağlayıcısı (IdP) olarak çalıştığında risk altında ve hangi rolün önemli olduğu build sürümüne bağlı. 14.1-73.37 ve 13.1-64.23 sürümlerinden eski build'lerde ve 14.1-73.37 FIPS ile 13.1-37.279 sürümlerinden eski FIPS build'lerinde her iki rol de etkileniyor. Citrix'e göre daha yeni 14.1-73.37 ile 14.1-73.41 arasındaki build'lerde (14.1-FIPS karşılıkları dahil), 13.1-64.23 ile 13.1-64.28 arasındakilerde ve 13.1-37.279 ile 13.1-37.282 arasındaki 13.1-FIPS/NDcPP build'lerinde yalnızca kimlik sağlayıcısı rolü savunmasız.

Citrix düzeltilmiş sürümleri şöyle sıralıyor: 14.1 dalı için 14.1-73.46 veya sonrası, 13.1 içinde 13.1-64.29 veya sonrası, 14.1-FIPS için 14.1-73.46 FIPS veya sonrası ve 13.1-FIPS ile 13.1-NDcPP sürümleri için 13.1.37.283 veya sonrası. Secure Private Access Hybrid dağıtımlarının parçası olan NetScaler örnekleri de etkileniyor ve aynı yükseltmeye ihtiyaç duyuyor. Citrix'e göre yöneticiler, bir cihazın SAML rollerinden birini kullanıp kullanmadığını öğrenmek için yapılandırmasında add authentication samlAction (hizmet sağlayıcı) veya add authentication samlIdPProfile (kimlik sağlayıcı) ile eşleşen girdilere bakabilir.

İstismar konusunda Citrix, BleepingComputer'ın aktardığı bir açıklamada şunları söyledi: “Bültenin yayımlandığı tarih itibarıyla Citrix, bu güvenlik açığına yönelik azaltılmamış herhangi bir istismardan haberdar değildir”. The Register, Citrix'in açığın kamuya duyurulmadan önce sıfırıncı gün açığı olarak kullanılıp kullanılmadığını söylemediğini belirtiyor. Bülten, JPMorgan Chase bünyesindeki XOR Team araştırmacılarına teşekkür ediyor. BleepingComputer'ın haberine göre Shadowserver, internette NetScaler parmak izine sahip 21.000'den fazla IP adresini izliyor; bunların yaklaşık 20.000'i ADC cihazı, 1.500'ün biraz üzerindeki kısmı ise Gateway örneği. Ancak bunların kaçının honeypot olduğu, kaçının zaten yamalandığı ya da savunmasız biçimde yapılandırıldığı bilinmiyor.

Düzeltme, saldırganların bu yıl istismar ettiği birkaç NetScaler açığının ardından geliyor. Citrix bu ayın başlarında, The Register'a göre 8,7 puan taşıyan ve BleepingComputer'ın aktardığına göre araştırmacıların ve yöneticilerin daha sonra kod yürütmeye de olanak tanıdığını söylediği bir hizmet reddi sıfırıncı gün açığı olan CVE-2026-88779 için acil güncellemeler yayımlamıştı. The Register'a göre hem bu açık hem de yenisi SAML yapılandırmalarındaki bellek taşmalarıyla ilgili. Citrix eylül ayında istismar edilen CVE-2026-88771 ve CVE-2026-88772 kodlu iki sıfırıncı gün açığını düzeltmişti; Google araştırmacıları, CVE-2026-88772 açığını kötüye kullanan bir kampanyanın en az eylül başından beri sürdüğünü söyledi. BleepingComputer, CISA'nın Kasım 2021'den bu yana 27 Citrix açığını aktif olarak istismar edilen açıklar arasında listelediğini, bunların yedisinin fidye yazılımı saldırılarında kullanıldığını ekliyor.