NetScaler bülteninin tamamı 28 CVE: SAML, WebAuth, LDAP ve yönetim arayüzünde 15 yüksek puanlı açık daha (CVE-2026-107413, CVE-2026-107414, CVE-2026-120863)
Citrix'in 12 Kasım tarihli NetScaler ADC ve Gateway bülteni (CTX697305) dokuz kritik açığın yanında 15 yüksek ve dört orta puanlı açık içeriyor. SAML, WebAuth, LDAP, sertifika kimlik doğrulaması, HTTP/2 ve NSIP yönetim arayüzü etkileniyor. Düzeltilmiş sürümler aynı; istismar bildirilmedi.
CVE-2026-107411, CVE-2026-107413, CVE-2026-107414
Citrix'in 12 Kasım'da yayımladığı NetScaler ADC ve NetScaler Gateway bülteni (CTX697305) yalnızca dün yazdığımız dokuz kritik açıktan ibaret değil. Bültenin 13 Kasım'da güncellenen hâlinde toplam 28 CVE var: dokuzu kritik, 15'i yüksek (CVSS v4.0 7.7–8.7), dördü orta (6.9). Yüksek puanlı açıkların NVD kayıtları 13 Kasım'da yayımlandı.
Yüksek puanlı açıkların neredeyse tamamı bellek taşması türünde ve Citrix'e göre öngörülemeyen davranışa ya da hizmet kesintisine (DoS) yol açabiliyor. Çoğu kimlik doğrulama gerektirmeden ağ üzerinden tetiklenebiliyor. Kapsam geniş: SAML, WebAuth, LDAP ve sertifika kimlik doğrulaması gibi çok yaygın yapılandırmalar listede. Citrix istismar bildirmedi, açıklar KEV'de değil. Düzeltilmiş sürümler ilk haberdekiyle aynı; workaround yok.
Etkilenen ve düzeltilmiş sürümler | Ürün | Etkilenen | Düzeltilmiş sürüm | |---|---|---| | NetScaler ADC ve Gateway 14.1 | 14.1-73.57 öncesi | 14.1-73.57 ve sonrası | | NetScaler ADC ve Gateway 13.1 | 13.1-64.39 öncesi | 13.1-64.39 ve sonrası | | NetScaler ADC 14.1-FIPS | 14.1-73.58 FIPS öncesi | 14.1-73.58 FIPS ve sonrası | | NetScaler ADC 13.1-FIPS ve 13.1-NDcPP | 13.1-37.293 öncesi | 13.1-37.293 ve sonrası |
Yüksek puanlı açıklar ve ön koşulları (CTX697305)
| CVE | CVSS | Ön koşul |
|---|---|---|
| CVE-2026-107413 | 8.7 | SAML action tanımlı ADC ya da Gateway |
| CVE-2026-107414 | 8.7 | WebAuth action tanımlı ADC ya da Gateway |
| CVE-2026-111342 | 8.7 | Gateway ya da AAA virtual server (LDAP kimlik doğrulaması) |
| CVE-2026-111341 | 8.7 | Sertifika kimlik doğrulama action'ı (CertAction) |
| CVE-2026-111340 | 8.7 | KBAttribute içeren LDAP action ya da Email action (KBA) |
| CVE-2026-120863 | 8.7 | NSIP ya da NSIP6 adresine güvenilmeyen ağdan erişim (yönetim düzlemi) |
| CVE-2026-111337 | 8.7 | B64DECODE içeren policy bağlı ya da Application Firewall yapılandırılmış |
| CVE-2026-107411 | 8.7 | RTSP türünde LB virtual server ya da LSN grubunda RTSP ALG |
| CVE-2026-120860 | 8.7 | DIAMETER, SIP_TCP, MQTT ya da RADIUS türünde LB virtual server |
| CVE-2026-120861 | 8.7 | MEP açık GSLB site, GSLB static proximity, geolocation responder policy ya da GSLB otomatik yapılandırma eşitlemesi |
| CVE-2026-120862 | 8.7 | LSN grubunda SIP ALG ya da DNS profilinde answer-section loglama |
| CVE-2026-120865 | 8.7 | HTTP_QUIC türünde LB ya da CS virtual server (HTTP/3) |
| CVE-2026-120867 | 8.7 | ECH profili tanımlı TLS 1.3 virtual server ya da SafeNet HSM anahtarı bağlı SSL virtual server |
| CVE-2026-111336 | 8.3 | HTTP profilinde HTTP/2 açık HTTP/SSL virtual server |
| CVE-2026-120866 | 7.7 | TCP-MD5 kimlik doğrulaması olmayan BGP komşuluğu; saldırganın komşu olması ya da komşuyu taklit etmesi gerekir |
Orta puanlı dört açık (CVE-2026-111333, CVE-2026-111335, CVE-2026-111338, CVE-2026-111339) aynı sürümlerle kapanıyor. Bunlardan CVE-2026-111338, oturum kapatma sonrasında hassas kimlik doğrulama verisinin /var/log/httperror.log dosyasına yazılmasıyla ilgili. Bültenin güncel hâlinde EPA açığı CVE-2026-111334 kimliğiyle listeleniyor. Kesin liste için CTX697305 bültenine bakın.
Beni etkiliyor mu? NetScaler CLI'da sürümü ve tablodaki ön koşulları salt okunur komutlarla görebilirsiniz:
show ns version
show authentication samlAction
show authentication webAuthAction
show authentication ldapAction
show authentication certAction
show lb vserver
show ns ipSürüm 14.1-73.57 ya da 13.1-64.39'dan eskiyse cihaz zaten kritik CVE-2026-120868 nedeniyle etkileniyor. Bu haberdeki tablo, hangi ek açıkların sizin yapılandırmanızda geçerli olduğunu gösterir. SAML ile SSO yapan, LDAP ile kullanıcı doğrulayan ya da HTTP/2 açık yayın yapan kurulumlar Türkiye'de de çok yaygın. NSIP adresinin hangi ağlardan erişilebilir olduğunu firewall kurallarınızdan kontrol edin.
