NetScaler ADC ve Gateway'de dokuz kritik bellek açığı, Console'da kimliksiz erişim (CVE-2026-120868, CVE-2026-107412, CVE-2026-120869)

Citrix (Cloud Software Group), 12 Kasım'da NetScaler ADC, NetScaler Gateway ve NetScaler Console için güvenlik bültenleri yayımladı. ADC ve Gateway bülteninde (CTX697305) dokuz kritik açık var. Hepsi bellek taşması ya da bellek bozulması türünde ve CVSS puanları 9.3 ile 9.5 arasında. Citrix'e göre bu açıklar cihazda öngörülemeyen davranışa ya da hizmet kesintisine (DoS) yol açabiliyor. En dikkat çekeni CVE-2026-120868: paket işleme katmanındaki bu açık, belirli bir özellik gerektirmeden tüm ADC ve Gateway kurulumlarını, varsayılan yapılandırmayı da etkiliyor.

NetScaler Console bülteninde (CTX697320) ise CVE-2026-120869 (CVSS 9.4) var. Kimliği doğrulanmamış bir saldırgan, Console'un kimlik doğrulama kontrollerini atlatıp cihazdaki kısıtlı kaynaklara erişebiliyor. Citrix herhangi bir istismardan haberdar olmadığını açıkladı. Açıklar KEV'de değil. Aynı gün yayımlanan Secure Access Client açıklarını ayrı haberde yazdık. Bültenlerde workaround yok; çözüm sürüm yükseltmek.

Etkilenen ve düzeltilmiş sürümler | Ürün | Etkilenen | Düzeltilmiş sürüm | |---|---|---| | NetScaler ADC ve Gateway 14.1 | 14.1-73.57 öncesi | 14.1-73.57 ve sonrası | | NetScaler ADC ve Gateway 13.1 | 13.1-64.39 öncesi | 13.1-64.39 ve sonrası | | NetScaler ADC 14.1-FIPS | 14.1-73.58 FIPS öncesi | 14.1-73.58 FIPS ve sonrası | | NetScaler ADC 13.1-FIPS ve 13.1-NDcPP | 13.1-37.293 öncesi | 13.1-37.293 ve sonrası | | NetScaler Console 14.1 | 14.1-74.34 öncesi | 14.1-74.34 ve sonrası |

Citrix'in yönettiği bulut hizmetleri ve Adaptive Authentication, üretici tarafından güncelleniyor. NetScaler kullanan Secure Private Access hibrit kurulumları da etkileniyor. Kesin liste için CTX697305 ve CTX697320 bültenlerine bakın.

Hangi açık, hangi yapılandırmada?

Beni etkiliyor mu? NetScaler CLI'da sürümü ve ön koşullardaki virtual server türlerini görebilirsiniz:

show ns version
show vpn vserver
show authentication vserver
show lb vserver
show cs vserver

Sürüm 14.1-73.57 ya da 13.1-64.39'dan eskiyse CVE-2026-120868 nedeniyle cihaz, yapılandırmadan bağımsız olarak etkileniyor. Gateway, AAA, EPA, HDX, Email OTP, DNS, SMPP ya da PUSH kullanımı varsa tablodaki ek açıklar da geçerli. NetScaler Console sürümünü arayüzdeki sistem bilgisi ekranından kontrol edin.

Ne yapılmalı? 1. İnternete açık Gateway ve AAA cihazlarından başlayarak ADC ve Gateway'i 14.1-73.57 ya da 13.1-64.39 (FIPS'te 14.1-73.58 FIPS, FIPS/NDcPP'de 13.1-37.293) ve sonrasına yükseltin. HA çiftlerinde önce secondary node'u yükseltin ve change management sürecine planlı bakım olarak alın. 2. NetScaler Console'u 14.1-74.34'e yükseltin. Yükseltene kadar Console arayüzüne erişimi yalnızca güvenilir yönetim ağından olacak şekilde sınırlayın. 3. Bültenlerde workaround yok. Kullanılmayan servis türlerinin (SMPP, PUSH, DoH gibi) tanımlı kalmaması saldırı yüzeyini daraltır ama CVE-2026-120868 için tek çözüm yükseltmedir. 4. Yükseltme sonrası cihazda beklenmeyen yeniden başlama, çekirdek dökümü (core dump) ya da paket işleme motoru çökmesi kayıtlarını izleyin; bu açıklar DoS ile sonuçlanabiliyor. 5. NetScaler açıkları geçmişte hızla istismar edildi. KEV ya da sahada istismar haberine karşı bu sayfayı takip edin.