Haziran'da yamalanan NetScaler açığı CVE-2026-8452, PoC sonrası saldırılarda kullanılıyor

Citrix'in 30 Haziran 2026'da kapattığı NetScaler ADC ve Gateway açığı CVE-2026-8452, iki ay sonra aktif saldırıların hedefi oldu. CISA, açığı 26 Ağustos'ta Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi ve federal kurumlara 29 Ağustos'a kadar süre tanıdı.

"DoS" olarak duyurulan açık kod çalıştırmaya dönüştü

Citrix açığı ilk duyurduğunda onu öngörülemeyen davranışa ve hizmet reddine yol açan bir bellek taşması olarak tanımlamıştı. watchTowr Labs ise 14 Ağustos'ta yayımladığı teknik incelemede açığın zincirlenerek kimlik doğrulaması gerektirmeyen tam uzaktan kod çalıştırmaya dönüştürülebildiğini gösterdi ve çalışan bir kavram kanıtı (PoC) paylaştı.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açık, cihaz Gateway (SSL VPN, ICA Proxy, CVPN veya RDP Proxy) ya da AAA sanal sunucusu olarak yapılandırıldığında ortaya çıkıyor.

Saldırılarda neler görüldü?

Help Net Security'nin aktardığına göre:

• Defused, ilk istismar girişimlerini müşteri sensörlerinde doğruladı.
• Previdian, saldırganların x.php ve z.php adlı web shell dosyaları bıraktığını ve id, echo gibi keşif komutları çalıştırdığını bildirdi; etkinlik üç farklı ülkeden üç benzersiz IP adresinden geliyordu.
• Haber yayımlandığında Citrix'in bülteni istismarı doğrulayacak şekilde güncellenmemişti.

Düzeltilmiş sürümler

Citrix'in Haziran sonunda yayımladığı düzeltmeler şu derlemelerde yer alıyor:

• 14.1-72.61
• 13.1-63.18
• 13.1-37.272 (FIPS/NDcPP)

Bu derlemelerin ardından Ağustos ve Eylül'de yeni NetScaler açıkları için ek güncellemeler yayımlandığından, cihazları doğrudan en güncel güvenli sürüme taşımak daha mantıklı.

Ne yapılmalı?

• Gateway veya AAA sanal sunucusu çalıştıran NetScaler cihazlarını en az yukarıdaki derlemelere, mümkünse güncel düzeltilmiş sürümlere yükseltin.
• Web erişimli dizinlerde x.php, z.php gibi beklenmeyen PHP dosyalarını arayın.
• Cihaz üzerinde olağan dışı komut çalıştırma izlerini ve bilinmeyen IP adreslerinden gelen istekleri inceleyin.
• Sızma bulgusu varsa cihazı ağdan ayırıp kimlik bilgilerini ve sertifikaları yenileyin.