- Katılım
- 12 Şub 2024
- Mesajlar
- 778
1. Genel Bilgi
NetScaler, Cloud Software Group bünyesindeki Citrix tarafından sunulan bir ürün ailesidir. Bir kurum veya kuruluşun müşterilerine sunduğu internet hizmetlerinde veya çalışanlarının işyerindeki programlara evden bağlanmasında kullanılabilmektedir. Bu duyurunun konusu, bu ailedeki NetScaler ADC ve NetScaler Gateway ürünleridir.
NetScaler ADC, bir internet sitesine veya programa gelen istekleri uygun sunuculara yönlendirmektedir. Çok sayıda kişi aynı anda bağlandığında, işi farklı sunucular arasında paylaştırarak tek bir bilgisayarın aşırı yüklenmesini önlemeye yardımcı olmaktadır. Bir sunucu, internet sitesini veya programı çalıştıran ana bilgisayardır. NetScaler Gateway ise çalışanların, işyerinde olmasalar bile kendilerine izin verilen kurum programlarına güvenli biçimde bağlanmasını sağlamaktadır.
Bu vakada, CVE-2026-88771 ve CVE-2026-88772 kodlarıyla takip edilen iki önemli zafiyet bulunmaktadır. Bu kodlar, hangi güvenlik açığından söz edildiğini karıştırmadan belirtmek için kullanılmaktadır. Zafiyet, saldırganın geçerli bir kullanıcı hesabı ve parolası olmadan, internet üzerinden cihazın kendisine işlem yaptırmasına olanak verebilmekte, ikinci açık ise ayrıca cihazın çalışmasını durdurabilmektedir.1
CVE-2026-88771 zafiyeti, ürünlerin etkilenen sürümlerinde varsayılan tüm özelliklere sahip olmasına rağmen ortaya çıkabilmektedir. CVE-2026-88772 zafiyeti ise uzaktan bağlantıları korumak için kullanılan belirli bir özellik açık olduğunda etkili olmaktadır. Bu özellik, ilgili uzaktan erişim bağlantılarında varsayılan olarak açıktır.1
Üretici, iki zafiyetin de gerçek saldırılarda kullanıldığını doğrulamıştır. Üretici tarafından yayımlanan güncellemede altı başka güvenlik zafiyeti daha giderilmiştir. Ancak raporun araştırıldığı tarihte bu diğer altı zafiyetin gerçek saldırılarda kullanıldığı doğrulanmamıştır. Duyuru, kurumların kendilerinin yönettiği cihaz ve kurulumları kapsamaktadır. Üreticinin yönettiği bulut hizmetlerinin gerekli güncellemeleri ise üretici tarafından uygulanmaktadır.1 5 6
Kalıcı çözüm, etkilenen cihazlara üreticinin yayımladığı ve bu zafiyetleri kapatan yazılım sürümünü veya aynı desteklenen ürün dalındaki daha yeni bir sürümü yükleyerek güncelleme yapmaktır. Daha önce saldırıya uğradığından şüphe edilen bir cihazda yalnızca güncelleme yapmak yeterli olmayabilmektedir. Bu nedenle ilgili teknik ekip, önce saldırıyı incelemeye yarayan kayıtları korumalı, ardından cihazı ağdan ayırmalı, cihazda saklanan veya saldırıda ele geçirilmiş olabilecek parolaları ve güvenlik anahtarlarını yenilemeli ve cihazı güvenilir bir yedekten ya da temiz bir kurulumla yeniden çalışır hâle getirmelidir.1 3
2. Teknik Detaylar
2.1. Temel Bilgiler
Üretici / Vendor: Cloud Software Group / Citrix
Ürün: Citrix NetScaler ADC ve Citrix NetScaler Gateway
Bileşen: NetScaler trafik işleme, HTTP, DTLS, sanal sunucu ve TCP işlevleri
Zincir / Kampanya Adı: CVE-2026-88771 ve CVE-2026-88772'nin bağımsız olarak uzaktan kod yürütmeye (Remote Code Execution, RCE) yol açabildiği doğrulanmıştır; güvenilir kaynaklarda iki açığın birlikte kullanıldığı bir istismar zinciri (exploit chain) doğrulanmamıştır.1 5
CVE-2026-88771
CVE Numaralandırma Yetkilisi (CVE Numbering Authority, CNA): NetScaler
Zafiyet Türü: Uygun olmayan girdi doğrulama nedeniyle uzaktan kod yürütme
CWE: CWE-20 — Improper Input Validation
Etkilenen Servis / Özellik: Varsayılan yapılandırma dâhil tüm NetScaler ADC ve NetScaler Gateway kurulumları; ek özellik gerekmez.
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Gerçek saldırılarda doğrulanmıştır; CISA Bilinen İstismar Edilmiş Zafiyetler (Known Exploited Vulnerabilities, KEV) kataloğundadır.1 7 8
CVE-2026-88772
CNA: NetScaler
Zafiyet Türü: Bellek taşması (memory overflow); uzaktan kod yürütme veya hizmet dışı bırakma (Denial of Service, DoS)
CWE: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Etkilenen Servis / Özellik: DTLS etkin NetScaler ADC veya NetScaler Gateway; DTLS, VPN sanal sunucularında varsayılan olarak etkindir.
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Gerçek saldırılarda doğrulanmıştır; CISA KEV kataloğundadır.1 7 9
CVE-2026-88773
CNA: NetScaler
Zafiyet Türü: HTTP istek kaçakçılığı (HTTP Request Smuggling)
CWE: CWE-444 — Inconsistent Interpretation of HTTP Requests
Etkilenen Servis / Özellik: HTTP veya SSL türünde yük dengeleme (Load Balancing, LB), içerik anahtarlama (Content Switching, CS), VPN ya da kimlik doğrulama sanal sunucusu bulunan kurulumlar
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88774
CNA: NetScaler
Zafiyet Türü: HTTP URL tabanlı ifade kullanımından kaynaklanan özellik ilkesi atlatma (feature policy bypass)
CWE: CWE-16 — Configuration
Etkilenen Servis / Özellik: HTTP URL tabanlı ifade kullanan ilke yapılandırmaları
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88775
CNA: NetScaler
Zafiyet Türü: Bellek taşması; öngörülemeyen davranış veya hizmet dışı bırakma
CWE: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Etkilenen Servis / Özellik: Gateway olarak veya kimlik doğrulama, yetkilendirme ve hesap yönetimi (Authentication, Authorization and Accounting, AAA) sanal sunucusuyla yapılandırılmış kurulumlar
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88776
CNA: NetScaler
Zafiyet Türü: Bellek taşması; öngörülemeyen davranış veya hizmet dışı bırakma
CWE: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Etkilenen Servis / Özellik: Oracle türünde yük dengeleme sanal sunucusu bulunan kurulumlar
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88777
CNA: NetScaler
Zafiyet Türü: Bellek taşması; öngörülemeyen davranış veya hizmet dışı bırakma
CWE: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Etkilenen Servis / Özellik: HTTP dışı Katman 7 protokol özelliği etkin LB/CS veya CGNAT-LSN/NAT64 kurulumları
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88778
CNA: NetScaler
Zafiyet Türü: TCP Başlangıç Sıra Numarası (TCP Initial Sequence Number, ISN) tahmini
CWE: CWE-342 — Predictable Exact Value from Previous Values
Etkilenen Servis / Özellik: Desteklenen bir TCP sanal sunucu türünün bulunduğu ve Enhanced ISN Generation ayarının kapalı olduğu kurulumlar
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
Zincirin Sonucu: Uygulanabilir değildir. Sekiz CVE aynı güvenlik güncellemesi kümesindedir; ancak güvenilir kaynaklarda birbirini tamamlayan tek bir istismar zinciri olarak tanımlanmamıştır. CVE-2026-88771 ve CVE-2026-88772 bağımsız olarak uzaktan kod yürütmeye yol açabilir.1 5
2.2. Zafiyet Tanımı
CVE-2026-88771: NetScaler, güvenilmeyen girdiyi yeterli biçimde doğrulamadan log kayıtlarına aktarabilmektedir. Gerçek saldırı verilerine dayanan teknik incelemede, HTTP User-Agent alanındaki kodlanmış içeriğin HTTP loglarına yazıldığı; kimlik doğrulama loglarındaki özel bir tetikleyici satırın ise ns_monuploadd_err işlemi tarafından kabuk (shell) komutuna güvenli olmayan biçimde eklendiği görülmüştür. Bu log kaydı enjeksiyonu (log injection), kimliği doğrulanmamış saldırganın (unauthenticated attacker) cihazda uzaktan kod yürütme gerçekleştirmesine yol açmaktadır.1 4
CVE-2026-88772: DTLS işleme yolundaki bellek taşması (buffer overflow), uzaktan kod yürütmeye veya hizmet dışı bırakmaya neden olabilmektedir.1
CVE-2026-88773: HTTP isteklerinin farklı bileşenler tarafından tutarsız yorumlanması HTTP istek kaçakçılığına yol açmaktadır. HTTP yapılandırmasının ve ilgili HTTP/SSL sanal sunucu türlerinden en az birinin etkin olması gerekmektedir.1
CVE-2026-88774: HTTP URL tabanlı ifadelerin uygun olmayan kullanımı, özellik ilkesi atlatmaya (feature policy bypass) yol açmaktadır. Üreticinin ek açıklamasına göre URL normalleştirme eksikliği, güvenlik kurallarının veya web uygulaması güvenlik duvarı ilkelerinin atlatılmasına neden olabilmektedir.1 2
CVE-2026-88775: Gateway veya AAA sanal sunucusu yapılandırmasındaki bellek taşması, öngörülemeyen ya da hatalı davranışa veya hizmet dışı bırakmaya neden olabilmektedir.1
CVE-2026-88776: Oracle türündeki yük dengeleme sanal sunucusunu etkileyen bellek taşması, öngörülemeyen ya da hatalı davranışa veya hizmet dışı bırakmaya neden olabilmektedir.1
CVE-2026-88777: Belirli HTTP dışı Katman 7 protokol özelliklerinin etkin olduğu LB/CS veya CGNAT-LSN/NAT64 yapılandırmalarındaki bellek taşması, öngörülemeyen ya da hatalı davranışa veya hizmet dışı bırakmaya neden olabilmektedir.1
CVE-2026-88778: Enhanced ISN Generation kapalıyken TCP Başlangıç Sıra Numaralarının tahmin edilebilir olması, TCP iletişiminin güvenlik özelliklerini zayıflatabilmektedir. Üretici, sorunun giderilmesi için güvenli ISN'in etkinleştirilmesini istemektedir.1
2.3. Zayıflıklar
Bu zafiyetlerin aynı güvenlik güncellemesinde bulunması, birlikte kullanıldıklarını kanıtlamamaktadır. Birincil kaynaklarda bu CVE'lerle açıkça ilişkilendirilmiş CAPEC veya MITRE ATT&CK kodu yayımlanmış bilgi bulunmamaktadır.
2.4. Etkiler
CVE-2026-88771: Kimlik doğrulaması gerektirmeden cihaz üzerinde saldırgan tarafından belirlenen komutların yürütülmesine yol açabilir. Gözlemlenen saldırılarda /etc/httpd.conf dosyasının değiştirilerek PHP çalıştırmanın etkinleştirildiği ve internet üzerinden erişilebilen bir konuma kalıcılık amacıyla web kabuğu (web shell) yerleştirildiği belgelenmiştir.4
CVE-2026-88772: Başarılı istismar, DTLS etkin cihazda uzaktan kod yürütme veya hizmet dışı bırakma ile sonuçlanabilmektedir. Gerçek saldırıların ayrıntılı son aşama davranışları kamuya açık birincil kaynaklarda açıklanmamıştır.1 5
CVE-2026-88773: HTTP istek kaçakçılığı, NetScaler ile sonraki sistemler arasında istek sınırlarının veya içeriğinin farklı yorumlanmasına ve bütünlük etkisine yol açabilmektedir.1 12
CVE-2026-88774: URL tabanlı güvenlik ilkelerinin veya web uygulaması güvenlik duvarı kurallarının atlatılmasına neden olabilmektedir.2
CVE-2026-88775, CVE-2026-88776 ve CVE-2026-88777: İlgili yapılandırmalarda cihazın öngörülemeyen davranış göstermesine veya hizmet dışı kalmasına neden olabilmektedir.1
CVE-2026-88778: Tahmin edilebilir TCP Başlangıç Sıra Numaraları, bağlantı güvenliğini zayıflatabilir. Üreticinin yayımladığı CVSS değerlendirmesi, zafiyetli sistem ile sonraki sistemlerde gizlilik, bütünlük ve erişilebilirlik etkisi bulunduğunu belirtmektedir.1
Birleşik etki: Doğrulanmış bir istismar zinciri bulunmamaktadır. Bununla birlikte, internete açık bir NetScaler'da CVE-2026-88771 veya CVE-2026-88772 üzerinden başarılı uzaktan kod yürütme, yapılandırma değişikliği, web kabuğu yerleştirme ve cihazın iç sistemlere geçiş noktası olarak kullanılması riski doğmaktadır. İlk iki sonuç gerçek saldırı verileriyle doğrulanmış; iç sistemlere olası geçiş ise cihazın ağdaki konumuna bağlı operasyonel risk olarak belirtilmiştir.3 4
2.5. Sömürü Durumu
Aktif exploit var mı?: Evet. CVE-2026-88771 ve CVE-2026-88772 için gerçek saldırılarda istismar gözlemlenmiştir.
PoC var mı?: Kamuya açık güvenilir kaynaklarda doğrulanmış bağımsız bir kavram kanıtı (Proof of Concept, PoC) bilgisi bulunmamaktadır. CVE-2026-88771 için gerçek saldırı logları ve teknik analiz yayımlanmıştır.
Gerçek dünya saldırılarında aktif istismar var mı?: CVE-2026-88771 ve CVE-2026-88772 için evet; diğer altı CVE için kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.
İstismar zinciri aktif kullanılıyor mu?: Doğrulanamamıştır. CISA iki kritik açığın bağımsız olarak uzaktan kod yürütmeye yol açabildiğini belirtmektedir.
CISA KEV: CVE-2026-88771 ve CVE-2026-88772, 27.09.2026 tarihinde kataloğa eklenmiştir; son işlem tarihi 30.09.2026, bilinen fidye yazılımı kampanyasında kullanım durumu “bilinmiyor” ve adli inceleme gereksinimi “evet” olarak yayımlanmıştır.
CISA Paydaş Odaklı Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC): CVE-2026-88771 için istismar aktif, otomatize edilebilirlik evet ve teknik etki tam; CVE-2026-88772 için istismar aktif, otomatize edilebilirlik hayır ve teknik etki tam olarak değerlendirilmiştir.5 7 8 9
CISA, her iki açığın güvenlik güncellemesi öncesinde kullanılan 0-day (sıfırıncı gün) açıkları olduğunu ve dünya genelinde aktif istismar edildiğini doğrulamıştır. İlk güvenilir kamuya açık doğrulama 27.09.2026 tarihindedir; daha erken bir ilk istismar tarihi kamuya açık güvenilir kaynaklarda doğrulanmamıştır.5
CVE-2026-88771 için yayımlanan olay analizi; HTTP User-Agent alanında kodlanmış komutların logları doldurduğunu, kimlik doğrulama loglarının özel bir hata metniyle yoğun biçimde tetiklendiğini ve ilgili log işleme görevi çalıştığında komutların yürütüldüğünü göstermektedir. Bu materyal bağımsız PoC değil, gerçek saldırı kanıtıdır.4
Kaynak sınıflandırması: Üretici/CNA bülteni, resmî siber güvenlik otoriteleri, CISA KEV/SSVC verisi ve doğrudan olay loglarına dayanan teknik analiz.
Vendor/CNA doğrulama seviyesi: Üretici iki kritik açık için gerçek saldırılarda istismarı doğrulamış; ayrıntılı CVE-2026-88771 mekaniği resmî olay analizinde belgelenmiştir.
3. Risk Değerlendirmesi
Ortak Zafiyet Puanlama Sistemi (Common Vulnerability Scoring System, CVSS) değerlendirmeleri
FIRST İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS)
CISA Bulguları
CVE-2026-88771'in varsayılan yapılandırmayı etkilemesi, kimlik doğrulaması gerektirmemesi ve aktif olarak istismar edilmesi; CVE-2026-88772'nin ise DTLS etkin cihazlarda aktif istismarla doğrulanması acil güncelleme ve ihlal değerlendirmesini gerektirmektedir. Diğer altı CVE için aktif istismar doğrulanmamış olsa da aynı düzeltilmiş sürümlerde kapatılmaları ve bazı NVD değerlendirmelerinin kritik düzeyde olması, bu açıkların güncelleme kapsamı dışında bırakılmaması gerektiğini göstermektedir.1 5 10 11 12 14 15 16
4. Etkisizleştirme (Mitigation)
Bu etkisizleştirme önlemleri, kalıcı güvenlik güncellemesinin yerine geçmez.
5. Kalıcı Çözüm (Remediation)
Etkilenen cihazlar aşağıdaki sürümlere veya aynı desteklenen ürün dalındaki daha yeni sürümlere yükseltilmelidir:1
Üretici bülteninde aynı 13.1-FIPS/NDcPP derlemesi etkilenen sürüm eşiğinde 13.1-37.279, önerilen sürüm listesinde ise 13.1.37.279 biçiminde gösterilmiştir. Kalıcı çözüm değeri, üreticinin önerilen sürüm listesindeki yazımla korunmuştur.1
Üretici tarafından NetScaler 13.1-64.23 sürümünde belirli değişken yapılandırmalarına sahip cihazların yükseltme sırasında döngüsel yeniden başlama sorunu yaşanabileceği belirtilmektedir. show ns variable komutu yapılandırılmış değişkenler döndürüyorsa operasyonel kesintiyi önlemek için 13.1-64.24 sürümüne yükseltme planlanmalıdır.2
İhlal şüphesi varsa yalnızca sürüm yükseltmek yeterli kabul edilmemelidir. Kanıtlar korunduktan sonra VPX örneği değiştirilerek veya donanım cihazı güvenli biçimde silinip yeniden kurularak güvenilir ve ihlal öncesi bir yapılandırma yedeği geri yüklenmelidir. Cihazda saklanan servis hesabı parolaları, LDAP/RADIUS sırları, OAuth belirteçleri, API anahtarları, SNMP topluluk adları, yerel hesap parolaları, anahtar şifreleme anahtarları ve SSL sertifikaları/özel anahtarları yenilenmeli; cihazın bağlandığı kimlik doğrulama, web, hassas sunucu ve yönetim sistemleri incelenmelidir. Yeniden kurulan cihaz en az 90 gün yakından izlenmelidir.3
6. Tespit / İzleme (SOC/SIEM için)
6.1. Log Göstergeleri
İlgili ekipler aşağıdaki doğrudan gözlemlenmiş veya üretici tarafından önerilmiş verileri incelemelidir:
Yerel logların saldırgan tarafından değiştirilebilmesi veya güncelleme sırasında adli görünürlüğün azalabilmesi nedeniyle uzak syslog, NetScaler Console ve ağ güvenliği kayıtları aynı zaman çizelgesinde korele edilmelidir. Üretici, NetScaler loglarının harici bir loglama veya SIEM sistemine iletilmesini özellikle önermektedir.2 3 5
6.2. IOC
Bu vakaya özgü sabit ve kamuya açık doğrulanmış IP adresi, alan adı veya dosya karma değeri (file hash) yayımlanmamıştır. Üretici genel IOC'leri NetScaler Console üzerinden sunmakta; bu imkânı kullanmayan müşterilerin ilgili göstergeler için Citrix Support ile iletişime geçmesini istemektedir.2
NetScaler Console IOC taraması ilk değerlendirmeyi hızlandırabilir; ancak üretici, bu göstergelerin bütün tehdit aktörü (threat actor) tekniklerini kapsamadığını, sınırlı adli değere sahip olabileceğini ve gerçek ihlalleri belirlemekte başarısız kalabileceğini açıkça belirtmektedir. Negatif tarama sonucu, ihlal bulunmadığının kesin kanıtı olarak değerlendirilmemelidir.2
6.3. Tespit Kuralı Önerisi
CVE-2026-88771 için aşağıdaki kaynak temelli davranış korelasyonu oluşturulabilir:4
İlk üç koşul gerçek saldırı analizindeki gözlemlere dayanmakta; dördüncü koşul ihlal sonrası inceleme için genel korelasyon önerisi olmaktadır. Bu davranış kuralı kesin bir istismar imzası değildir. Üçüncü taraf tespit kuralları ve kurum içinde geliştirilen kurallar üretime alınmadan önce kontrollü ortamda doğrulanmalı; yanlış pozitif (false positive) olasılığı normal NetScaler hata ve bakım davranışlarına göre ayarlanmalıdır.
7. Kaynaklar
NetScaler, Cloud Software Group bünyesindeki Citrix tarafından sunulan bir ürün ailesidir. Bir kurum veya kuruluşun müşterilerine sunduğu internet hizmetlerinde veya çalışanlarının işyerindeki programlara evden bağlanmasında kullanılabilmektedir. Bu duyurunun konusu, bu ailedeki NetScaler ADC ve NetScaler Gateway ürünleridir.
NetScaler ADC, bir internet sitesine veya programa gelen istekleri uygun sunuculara yönlendirmektedir. Çok sayıda kişi aynı anda bağlandığında, işi farklı sunucular arasında paylaştırarak tek bir bilgisayarın aşırı yüklenmesini önlemeye yardımcı olmaktadır. Bir sunucu, internet sitesini veya programı çalıştıran ana bilgisayardır. NetScaler Gateway ise çalışanların, işyerinde olmasalar bile kendilerine izin verilen kurum programlarına güvenli biçimde bağlanmasını sağlamaktadır.
Bu vakada, CVE-2026-88771 ve CVE-2026-88772 kodlarıyla takip edilen iki önemli zafiyet bulunmaktadır. Bu kodlar, hangi güvenlik açığından söz edildiğini karıştırmadan belirtmek için kullanılmaktadır. Zafiyet, saldırganın geçerli bir kullanıcı hesabı ve parolası olmadan, internet üzerinden cihazın kendisine işlem yaptırmasına olanak verebilmekte, ikinci açık ise ayrıca cihazın çalışmasını durdurabilmektedir.1
CVE-2026-88771 zafiyeti, ürünlerin etkilenen sürümlerinde varsayılan tüm özelliklere sahip olmasına rağmen ortaya çıkabilmektedir. CVE-2026-88772 zafiyeti ise uzaktan bağlantıları korumak için kullanılan belirli bir özellik açık olduğunda etkili olmaktadır. Bu özellik, ilgili uzaktan erişim bağlantılarında varsayılan olarak açıktır.1
Üretici, iki zafiyetin de gerçek saldırılarda kullanıldığını doğrulamıştır. Üretici tarafından yayımlanan güncellemede altı başka güvenlik zafiyeti daha giderilmiştir. Ancak raporun araştırıldığı tarihte bu diğer altı zafiyetin gerçek saldırılarda kullanıldığı doğrulanmamıştır. Duyuru, kurumların kendilerinin yönettiği cihaz ve kurulumları kapsamaktadır. Üreticinin yönettiği bulut hizmetlerinin gerekli güncellemeleri ise üretici tarafından uygulanmaktadır.1 5 6
Kalıcı çözüm, etkilenen cihazlara üreticinin yayımladığı ve bu zafiyetleri kapatan yazılım sürümünü veya aynı desteklenen ürün dalındaki daha yeni bir sürümü yükleyerek güncelleme yapmaktır. Daha önce saldırıya uğradığından şüphe edilen bir cihazda yalnızca güncelleme yapmak yeterli olmayabilmektedir. Bu nedenle ilgili teknik ekip, önce saldırıyı incelemeye yarayan kayıtları korumalı, ardından cihazı ağdan ayırmalı, cihazda saklanan veya saldırıda ele geçirilmiş olabilecek parolaları ve güvenlik anahtarlarını yenilemeli ve cihazı güvenilir bir yedekten ya da temiz bir kurulumla yeniden çalışır hâle getirmelidir.1 3
2. Teknik Detaylar
2.1. Temel Bilgiler
Üretici / Vendor: Cloud Software Group / Citrix
Ürün: Citrix NetScaler ADC ve Citrix NetScaler Gateway
Bileşen: NetScaler trafik işleme, HTTP, DTLS, sanal sunucu ve TCP işlevleri
Zincir / Kampanya Adı: CVE-2026-88771 ve CVE-2026-88772'nin bağımsız olarak uzaktan kod yürütmeye (Remote Code Execution, RCE) yol açabildiği doğrulanmıştır; güvenilir kaynaklarda iki açığın birlikte kullanıldığı bir istismar zinciri (exploit chain) doğrulanmamıştır.1 5
CVE-2026-88771
CVE Numaralandırma Yetkilisi (CVE Numbering Authority, CNA): NetScaler
Zafiyet Türü: Uygun olmayan girdi doğrulama nedeniyle uzaktan kod yürütme
CWE: CWE-20 — Improper Input Validation
Etkilenen Servis / Özellik: Varsayılan yapılandırma dâhil tüm NetScaler ADC ve NetScaler Gateway kurulumları; ek özellik gerekmez.
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Gerçek saldırılarda doğrulanmıştır; CISA Bilinen İstismar Edilmiş Zafiyetler (Known Exploited Vulnerabilities, KEV) kataloğundadır.1 7 8
CVE-2026-88772
CNA: NetScaler
Zafiyet Türü: Bellek taşması (memory overflow); uzaktan kod yürütme veya hizmet dışı bırakma (Denial of Service, DoS)
CWE: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Etkilenen Servis / Özellik: DTLS etkin NetScaler ADC veya NetScaler Gateway; DTLS, VPN sanal sunucularında varsayılan olarak etkindir.
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Gerçek saldırılarda doğrulanmıştır; CISA KEV kataloğundadır.1 7 9
CVE-2026-88773
CNA: NetScaler
Zafiyet Türü: HTTP istek kaçakçılığı (HTTP Request Smuggling)
CWE: CWE-444 — Inconsistent Interpretation of HTTP Requests
Etkilenen Servis / Özellik: HTTP veya SSL türünde yük dengeleme (Load Balancing, LB), içerik anahtarlama (Content Switching, CS), VPN ya da kimlik doğrulama sanal sunucusu bulunan kurulumlar
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88774
CNA: NetScaler
Zafiyet Türü: HTTP URL tabanlı ifade kullanımından kaynaklanan özellik ilkesi atlatma (feature policy bypass)
CWE: CWE-16 — Configuration
Etkilenen Servis / Özellik: HTTP URL tabanlı ifade kullanan ilke yapılandırmaları
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88775
CNA: NetScaler
Zafiyet Türü: Bellek taşması; öngörülemeyen davranış veya hizmet dışı bırakma
CWE: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Etkilenen Servis / Özellik: Gateway olarak veya kimlik doğrulama, yetkilendirme ve hesap yönetimi (Authentication, Authorization and Accounting, AAA) sanal sunucusuyla yapılandırılmış kurulumlar
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88776
CNA: NetScaler
Zafiyet Türü: Bellek taşması; öngörülemeyen davranış veya hizmet dışı bırakma
CWE: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Etkilenen Servis / Özellik: Oracle türünde yük dengeleme sanal sunucusu bulunan kurulumlar
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88777
CNA: NetScaler
Zafiyet Türü: Bellek taşması; öngörülemeyen davranış veya hizmet dışı bırakma
CWE: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Etkilenen Servis / Özellik: HTTP dışı Katman 7 protokol özelliği etkin LB/CS veya CGNAT-LSN/NAT64 kurulumları
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
CVE-2026-88778
CNA: NetScaler
Zafiyet Türü: TCP Başlangıç Sıra Numarası (TCP Initial Sequence Number, ISN) tahmini
CWE: CWE-342 — Predictable Exact Value from Previous Values
Etkilenen Servis / Özellik: Desteklenen bir TCP sanal sunucu türünün bulunduğu ve Enhanced ISN Generation ayarının kapalı olduğu kurulumlar
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: NetScaler ADC ve Gateway 14.1-73.37 öncesi; 13.1-64.23 öncesi; NetScaler ADC 14.1-73.37 FIPS öncesi; NetScaler ADC 13.1-37.279 FIPS ve NDcPP öncesi.
Minimum Güvenli Sürüm: 14.1-73.37; 13.1-64.23; 14.1-73.37 FIPS; 13.1.37.279 FIPS ve NDcPP
Güncel Önerilen Sürüm: 29.09.2026 itibarıyla 14.1-73.37 veya sonrası; 13.1-64.23 veya sonrası; 14.1-73.37 FIPS veya sonrası; 13.1.37.279 FIPS ve NDcPP veya sonrası
Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.1
Zincirin Sonucu: Uygulanabilir değildir. Sekiz CVE aynı güvenlik güncellemesi kümesindedir; ancak güvenilir kaynaklarda birbirini tamamlayan tek bir istismar zinciri olarak tanımlanmamıştır. CVE-2026-88771 ve CVE-2026-88772 bağımsız olarak uzaktan kod yürütmeye yol açabilir.1 5
2.2. Zafiyet Tanımı
CVE-2026-88771: NetScaler, güvenilmeyen girdiyi yeterli biçimde doğrulamadan log kayıtlarına aktarabilmektedir. Gerçek saldırı verilerine dayanan teknik incelemede, HTTP User-Agent alanındaki kodlanmış içeriğin HTTP loglarına yazıldığı; kimlik doğrulama loglarındaki özel bir tetikleyici satırın ise ns_monuploadd_err işlemi tarafından kabuk (shell) komutuna güvenli olmayan biçimde eklendiği görülmüştür. Bu log kaydı enjeksiyonu (log injection), kimliği doğrulanmamış saldırganın (unauthenticated attacker) cihazda uzaktan kod yürütme gerçekleştirmesine yol açmaktadır.1 4
CVE-2026-88772: DTLS işleme yolundaki bellek taşması (buffer overflow), uzaktan kod yürütmeye veya hizmet dışı bırakmaya neden olabilmektedir.1
CVE-2026-88773: HTTP isteklerinin farklı bileşenler tarafından tutarsız yorumlanması HTTP istek kaçakçılığına yol açmaktadır. HTTP yapılandırmasının ve ilgili HTTP/SSL sanal sunucu türlerinden en az birinin etkin olması gerekmektedir.1
CVE-2026-88774: HTTP URL tabanlı ifadelerin uygun olmayan kullanımı, özellik ilkesi atlatmaya (feature policy bypass) yol açmaktadır. Üreticinin ek açıklamasına göre URL normalleştirme eksikliği, güvenlik kurallarının veya web uygulaması güvenlik duvarı ilkelerinin atlatılmasına neden olabilmektedir.1 2
CVE-2026-88775: Gateway veya AAA sanal sunucusu yapılandırmasındaki bellek taşması, öngörülemeyen ya da hatalı davranışa veya hizmet dışı bırakmaya neden olabilmektedir.1
CVE-2026-88776: Oracle türündeki yük dengeleme sanal sunucusunu etkileyen bellek taşması, öngörülemeyen ya da hatalı davranışa veya hizmet dışı bırakmaya neden olabilmektedir.1
CVE-2026-88777: Belirli HTTP dışı Katman 7 protokol özelliklerinin etkin olduğu LB/CS veya CGNAT-LSN/NAT64 yapılandırmalarındaki bellek taşması, öngörülemeyen ya da hatalı davranışa veya hizmet dışı bırakmaya neden olabilmektedir.1
CVE-2026-88778: Enhanced ISN Generation kapalıyken TCP Başlangıç Sıra Numaralarının tahmin edilebilir olması, TCP iletişiminin güvenlik özelliklerini zayıflatabilmektedir. Üretici, sorunun giderilmesi için güvenli ISN'in etkinleştirilmesini istemektedir.1
2.3. Zayıflıklar
- CWE-20: CVE-2026-88771'de saldırgan denetimindeki girdi, log işleme akışında yeterli doğrulamaya tabi tutulmadan komut yürütme yoluna ulaşmaktadır.1 4
- CWE-119: CVE-2026-88772, CVE-2026-88775, CVE-2026-88776 ve CVE-2026-88777 için bellek sınırlandırmasının uygun uygulanmaması; yapılandırmaya göre uzaktan kod yürütme, hatalı davranış veya hizmet dışı bırakma sonucunu doğurabilmektedir.1
- CWE-444: CVE-2026-88773'te HTTP isteklerinin bileşenler arasında tutarsız yorumlanması, aynı isteğin farklı sınırlar veya anlamlarla işlenmesine yol açmaktadır.1
- CWE-16: CVE-2026-88774'te HTTP URL tabanlı ifadelerin yapılandırılması, güvenlik ilkesinin beklenen şekilde uygulanmamasına neden olmaktadır.1
- CWE-342: CVE-2026-88778'de önceki değerlerden sonra TCP Başlangıç Sıra Numaralarının tahmin edilebilir olması söz konusudur.1
Bu zafiyetlerin aynı güvenlik güncellemesinde bulunması, birlikte kullanıldıklarını kanıtlamamaktadır. Birincil kaynaklarda bu CVE'lerle açıkça ilişkilendirilmiş CAPEC veya MITRE ATT&CK kodu yayımlanmış bilgi bulunmamaktadır.
2.4. Etkiler
CVE-2026-88771: Kimlik doğrulaması gerektirmeden cihaz üzerinde saldırgan tarafından belirlenen komutların yürütülmesine yol açabilir. Gözlemlenen saldırılarda /etc/httpd.conf dosyasının değiştirilerek PHP çalıştırmanın etkinleştirildiği ve internet üzerinden erişilebilen bir konuma kalıcılık amacıyla web kabuğu (web shell) yerleştirildiği belgelenmiştir.4
CVE-2026-88772: Başarılı istismar, DTLS etkin cihazda uzaktan kod yürütme veya hizmet dışı bırakma ile sonuçlanabilmektedir. Gerçek saldırıların ayrıntılı son aşama davranışları kamuya açık birincil kaynaklarda açıklanmamıştır.1 5
CVE-2026-88773: HTTP istek kaçakçılığı, NetScaler ile sonraki sistemler arasında istek sınırlarının veya içeriğinin farklı yorumlanmasına ve bütünlük etkisine yol açabilmektedir.1 12
CVE-2026-88774: URL tabanlı güvenlik ilkelerinin veya web uygulaması güvenlik duvarı kurallarının atlatılmasına neden olabilmektedir.2
CVE-2026-88775, CVE-2026-88776 ve CVE-2026-88777: İlgili yapılandırmalarda cihazın öngörülemeyen davranış göstermesine veya hizmet dışı kalmasına neden olabilmektedir.1
CVE-2026-88778: Tahmin edilebilir TCP Başlangıç Sıra Numaraları, bağlantı güvenliğini zayıflatabilir. Üreticinin yayımladığı CVSS değerlendirmesi, zafiyetli sistem ile sonraki sistemlerde gizlilik, bütünlük ve erişilebilirlik etkisi bulunduğunu belirtmektedir.1
Birleşik etki: Doğrulanmış bir istismar zinciri bulunmamaktadır. Bununla birlikte, internete açık bir NetScaler'da CVE-2026-88771 veya CVE-2026-88772 üzerinden başarılı uzaktan kod yürütme, yapılandırma değişikliği, web kabuğu yerleştirme ve cihazın iç sistemlere geçiş noktası olarak kullanılması riski doğmaktadır. İlk iki sonuç gerçek saldırı verileriyle doğrulanmış; iç sistemlere olası geçiş ise cihazın ağdaki konumuna bağlı operasyonel risk olarak belirtilmiştir.3 4
2.5. Sömürü Durumu
Aktif exploit var mı?: Evet. CVE-2026-88771 ve CVE-2026-88772 için gerçek saldırılarda istismar gözlemlenmiştir.
PoC var mı?: Kamuya açık güvenilir kaynaklarda doğrulanmış bağımsız bir kavram kanıtı (Proof of Concept, PoC) bilgisi bulunmamaktadır. CVE-2026-88771 için gerçek saldırı logları ve teknik analiz yayımlanmıştır.
Gerçek dünya saldırılarında aktif istismar var mı?: CVE-2026-88771 ve CVE-2026-88772 için evet; diğer altı CVE için kamuya açık güvenilir kaynaklarda doğrulanmış aktif istismar bilgisi bulunmamaktadır.
İstismar zinciri aktif kullanılıyor mu?: Doğrulanamamıştır. CISA iki kritik açığın bağımsız olarak uzaktan kod yürütmeye yol açabildiğini belirtmektedir.
CISA KEV: CVE-2026-88771 ve CVE-2026-88772, 27.09.2026 tarihinde kataloğa eklenmiştir; son işlem tarihi 30.09.2026, bilinen fidye yazılımı kampanyasında kullanım durumu “bilinmiyor” ve adli inceleme gereksinimi “evet” olarak yayımlanmıştır.
CISA Paydaş Odaklı Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC): CVE-2026-88771 için istismar aktif, otomatize edilebilirlik evet ve teknik etki tam; CVE-2026-88772 için istismar aktif, otomatize edilebilirlik hayır ve teknik etki tam olarak değerlendirilmiştir.5 7 8 9
CISA, her iki açığın güvenlik güncellemesi öncesinde kullanılan 0-day (sıfırıncı gün) açıkları olduğunu ve dünya genelinde aktif istismar edildiğini doğrulamıştır. İlk güvenilir kamuya açık doğrulama 27.09.2026 tarihindedir; daha erken bir ilk istismar tarihi kamuya açık güvenilir kaynaklarda doğrulanmamıştır.5
CVE-2026-88771 için yayımlanan olay analizi; HTTP User-Agent alanında kodlanmış komutların logları doldurduğunu, kimlik doğrulama loglarının özel bir hata metniyle yoğun biçimde tetiklendiğini ve ilgili log işleme görevi çalıştığında komutların yürütüldüğünü göstermektedir. Bu materyal bağımsız PoC değil, gerçek saldırı kanıtıdır.4
Kaynak sınıflandırması: Üretici/CNA bülteni, resmî siber güvenlik otoriteleri, CISA KEV/SSVC verisi ve doğrudan olay loglarına dayanan teknik analiz.
Vendor/CNA doğrulama seviyesi: Üretici iki kritik açık için gerçek saldırılarda istismarı doğrulamış; ayrıntılı CVE-2026-88771 mekaniği resmî olay analizinde belgelenmiştir.
3. Risk Değerlendirmesi
Ortak Zafiyet Puanlama Sistemi (Common Vulnerability Scoring System, CVSS) değerlendirmeleri
- CVE-2026-88771 — NVD, CVSS v3.1: 9.8 (Kritik)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
NetScaler CNA, CVSS v4.0: 9.5 (Kritik)
Vektör: CVSS:4.0/AV:N/AC:L/AT
/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H1 10 - CVE-2026-88772 — NVD, CVSS v3.1: 8.1 (Yüksek)
Vektör: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
NetScaler CNA, CVSS v4.0: 9.5 (Kritik)
Vektör: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H1 11 - CVE-2026-88773 — NVD, CVSS v3.1: 10.0 (Kritik)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
NetScaler CNA, CVSS v4.0: 9.3 (Kritik)
Vektör: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N1 12 - CVE-2026-88774 — NVD, CVSS v3.1: 7.2 (Yüksek)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
NetScaler CNA, CVSS v4.0: 7.0 (Yüksek)
Vektör: CVSS:4.0/AV:N/AC:L/AT/PR:N/UI:N/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N1 13 - CVE-2026-88775 — NVD, CVSS v3.1: 9.8 (Kritik)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
NetScaler CNA, CVSS v4.0: 8.8 (Yüksek)
Vektör: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N1 14 - CVE-2026-88776 — NVD, CVSS v3.1: 9.8 (Kritik)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
NetScaler CNA, CVSS v4.0: 8.8 (Yüksek)
Vektör: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N1 15 - CVE-2026-88777 — NVD, CVSS v3.1: 9.8 (Kritik)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
NetScaler CNA, CVSS v4.0: 8.8 (Yüksek)
Vektör: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N1 16 - CVE-2026-88778 — NVD, CVSS v3.1: 7.5 (Yüksek)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
NetScaler CNA, CVSS v4.0: 8.8 (Yüksek)
Vektör: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:H/SC:L/SI:L/SA:L1 17
FIRST İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS)
- CVE-2026-88771: %1,083 (13.10.2026)
- CVE-2026-88772: %1,301 (13.10.2026)
- CVE-2026-88773: %0,361 (13.10.2026)
- CVE-2026-88774: %0,241 (13.10.2026)
- CVE-2026-88775: %0,384 (13.10.2026)
- CVE-2026-88776: %0,384 (13.10.2026)
- CVE-2026-88777: %0,384 (13.10.2026)
- CVE-2026-88778: %0,379 (13.10.2026)
CISA Bulguları
- CVE-2026-88771: KEV eklenme tarihi 27.09.2026; son işlem tarihi 30.09.2026; bilinen fidye yazılımı kampanyasında kullanım durumu bilinmiyor. Gerekli işlem; üretici talimatlarına göre etkisizleştirme uygulanması, İnternet maruziyetinin değerlendirilmesi ve adli inceleme gerekliliklerinin yerine getirilmesidir. SSVC değerlendirmesi: istismar aktif, otomatize edilebilirlik evet, teknik etki tam.7 8
- CVE-2026-88772: KEV eklenme tarihi 27.09.2026; son işlem tarihi 30.09.2026; bilinen fidye yazılımı kampanyasında kullanım durumu bilinmiyor. Gerekli işlem; üretici talimatlarına göre etkisizleştirme uygulanması, İnternet maruziyetinin değerlendirilmesi ve adli inceleme gerekliliklerinin yerine getirilmesidir. SSVC değerlendirmesi: istismar aktif, otomatize edilebilirlik hayır, teknik etki tam.7 9
- Diğer altı CVE: 29.09.2026 tarihinde CISA KEV, SSVC veya bağımsız CISA Yetkili Veri Yayıncısı (Authorized Data Publisher, ADP) CVSS değerlendirmesi yayımlanmış bilgi bulunmamaktadır.
CVE-2026-88771'in varsayılan yapılandırmayı etkilemesi, kimlik doğrulaması gerektirmemesi ve aktif olarak istismar edilmesi; CVE-2026-88772'nin ise DTLS etkin cihazlarda aktif istismarla doğrulanması acil güncelleme ve ihlal değerlendirmesini gerektirmektedir. Diğer altı CVE için aktif istismar doğrulanmamış olsa da aynı düzeltilmiş sürümlerde kapatılmaları ve bazı NVD değerlendirmelerinin kritik düzeyde olması, bu açıkların güncelleme kapsamı dışında bırakılmaması gerektiğini göstermektedir.1 5 10 11 12 14 15 16
4. Etkisizleştirme (Mitigation)
- İhlal şüphesi bulunan cihazda güncellemeden önce sistem zamanı, saat dilimi ve NTP yapılandırması belgelenmeli; VPX anlık görüntüsü, uzak syslog ve NetScaler Console logları, teknik destek paketi ve Packet Engine çekirdek dökümü korunmalıdır.3 5
- Şüpheli cihaz, yetkisiz erişimin devam etmesini önlemek için ağdan ayrılmalıdır.3
- NetScaler Console Security Advisory işlevindeki güvenlik ihlali göstergesi (Indicator of Compromise, IOC) taraması çalıştırılmalı; bu taramanın gerçek ihlallerin tamamını belirleyemeyebileceği göz önünde bulundurulmalıdır.2 5
- DTLS etkin sanal sunucular, HTTP/SSL sanal sunucuları, Gateway/AAA yapılandırmaları, Oracle türü yük dengeleme sanal sunucuları, HTTP dışı Katman 7 özellikleri ve TCP parametreleri üreticinin yayımladığı önkoşul kontrolleriyle belirlenmelidir.1
- CVE-2026-88778 kapsamındaki kurulumlarda Enhanced ISN Generation etkinleştirilmelidir.1
- Üreticiye ait özel bir geçici çözüm (workaround) bulunmayan ve hemen güncellenemeyen İnternete açık cihazlarda erişimin güvenilir yönetim ağları ve izinli kaynaklarla sınırlandırılması genel bir savunma önlemidir.
- NetScaler yönetim servisleri genel İnternete açık olmamalıdır.3
Bu etkisizleştirme önlemleri, kalıcı güvenlik güncellemesinin yerine geçmez.
5. Kalıcı Çözüm (Remediation)
Etkilenen cihazlar aşağıdaki sürümlere veya aynı desteklenen ürün dalındaki daha yeni sürümlere yükseltilmelidir:1
- NetScaler ADC ve NetScaler Gateway 14.1-73.37 veya sonrası;
- NetScaler ADC ve NetScaler Gateway 13.1-64.23 veya 13.1 dalındaki daha yeni sürüm;
- NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS veya sonrası;
- NetScaler ADC 13.1-FIPS ve 13.1-NDcPP 13.1.37.279 veya sonrası.
Üretici bülteninde aynı 13.1-FIPS/NDcPP derlemesi etkilenen sürüm eşiğinde 13.1-37.279, önerilen sürüm listesinde ise 13.1.37.279 biçiminde gösterilmiştir. Kalıcı çözüm değeri, üreticinin önerilen sürüm listesindeki yazımla korunmuştur.1
Üretici tarafından NetScaler 13.1-64.23 sürümünde belirli değişken yapılandırmalarına sahip cihazların yükseltme sırasında döngüsel yeniden başlama sorunu yaşanabileceği belirtilmektedir. show ns variable komutu yapılandırılmış değişkenler döndürüyorsa operasyonel kesintiyi önlemek için 13.1-64.24 sürümüne yükseltme planlanmalıdır.2
İhlal şüphesi varsa yalnızca sürüm yükseltmek yeterli kabul edilmemelidir. Kanıtlar korunduktan sonra VPX örneği değiştirilerek veya donanım cihazı güvenli biçimde silinip yeniden kurularak güvenilir ve ihlal öncesi bir yapılandırma yedeği geri yüklenmelidir. Cihazda saklanan servis hesabı parolaları, LDAP/RADIUS sırları, OAuth belirteçleri, API anahtarları, SNMP topluluk adları, yerel hesap parolaları, anahtar şifreleme anahtarları ve SSL sertifikaları/özel anahtarları yenilenmeli; cihazın bağlandığı kimlik doğrulama, web, hassas sunucu ve yönetim sistemleri incelenmelidir. Yeniden kurulan cihaz en az 90 gün yakından izlenmelidir.3
6. Tespit / İzleme (SOC/SIEM için)
6.1. Log Göstergeleri
İlgili ekipler aşağıdaki doğrudan gözlemlenmiş veya üretici tarafından önerilmiş verileri incelemelidir:
- /logon/LogonPoint/tmindex.html isteklerinde User-Agent alanına yerleştirilmiş INDEX: işaretli veya Base64 benzeri kodlanmış içerik;4
- Kimlik doğrulama loglarında PPE missed too many heartbeats hata metninin olağandışı sıklıkta görülmesi ve aynı zaman aralığındaki HTTP loglarında ilgili INDEX değerleri;4
- /var/log/ns.log.0, /var/log/ns.log ve /var/log/messages içinde saldırgan denetimli komut ayraçları veya kodlanmış komut parçaları;4
- /etc/httpd.conf bütünlüğünde beklenmeyen değişiklik, PHP çalıştırmanın etkinleştirilmesi veya İnternetten erişilebilen dizinlerde yeni PHP web kabuğu dosyaları;4
- NetScaler Console IOC taramasında yeni bulgu veya NetScaler Console Dosya Bütünlüğü İzleme (File Integrity Monitoring) özelliğinde yetkisiz dosya değişikliği uyarısı.2
Yerel logların saldırgan tarafından değiştirilebilmesi veya güncelleme sırasında adli görünürlüğün azalabilmesi nedeniyle uzak syslog, NetScaler Console ve ağ güvenliği kayıtları aynı zaman çizelgesinde korele edilmelidir. Üretici, NetScaler loglarının harici bir loglama veya SIEM sistemine iletilmesini özellikle önermektedir.2 3 5
6.2. IOC
Bu vakaya özgü sabit ve kamuya açık doğrulanmış IP adresi, alan adı veya dosya karma değeri (file hash) yayımlanmamıştır. Üretici genel IOC'leri NetScaler Console üzerinden sunmakta; bu imkânı kullanmayan müşterilerin ilgili göstergeler için Citrix Support ile iletişime geçmesini istemektedir.2
NetScaler Console IOC taraması ilk değerlendirmeyi hızlandırabilir; ancak üretici, bu göstergelerin bütün tehdit aktörü (threat actor) tekniklerini kapsamadığını, sınırlı adli değere sahip olabileceğini ve gerçek ihlalleri belirlemekte başarısız kalabileceğini açıkça belirtmektedir. Negatif tarama sonucu, ihlal bulunmadığının kesin kanıtı olarak değerlendirilmemelidir.2
6.3. Tespit Kuralı Önerisi
CVE-2026-88771 için aşağıdaki kaynak temelli davranış korelasyonu oluşturulabilir:4
- Savunmasız NetScaler sürümüne gelen HTTP isteğinin User-Agent alanında Base64 benzeri içerik veya INDEX: işareti görülmesi;
- Aynı kısa zaman aralığında kimlik doğrulama loglarında PPE missed too many heartbeats metninin tekrarlanması;
- ns_monuploadd_err çalışmasını izleyen dönemde /etc/httpd.conf değişikliği, PHP çalıştırmanın etkinleşmesi veya yeni web kabuğu dosyası oluşması;
- Cihazdan beklenmeyen dış bağlantı, yeni yönetim oturumu veya iç sistemlere olağandışı erişim görülmesi.
İlk üç koşul gerçek saldırı analizindeki gözlemlere dayanmakta; dördüncü koşul ihlal sonrası inceleme için genel korelasyon önerisi olmaktadır. Bu davranış kuralı kesin bir istismar imzası değildir. Üçüncü taraf tespit kuralları ve kurum içinde geliştirilen kurallar üretime alınmadan önce kontrollü ortamda doğrulanmalı; yanlış pozitif (false positive) olasılığı normal NetScaler hata ve bakım davranışlarına göre ayarlanmalıdır.
7. Kaynaklar
- Citrix - Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771, CVE-2026-88772, CVE-2026-88773, CVE-2026-88774, CVE-2026-88775, CVE-2026-88776, CVE-2026-88777, and CVE-2026-88778
- Citrix - Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771 through CVE-2026-88778
- Citrix - Steps to Take if NetScaler ADC is Suspected to be Compromised
- CERT-EU - Taking 'execute logging' a bit too literally - CVE-2026-88771
- CISA - Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway
- CERT-EU - Critical Vulnerabilities in Citrix NetScaler ADC and Gateway
- CISA - Known Exploited Vulnerabilities Catalog
- CVE Program - CVE-2026-88771
- CVE Program - CVE-2026-88772
- NIST NVD - CVE-2026-88771 Detail
- NIST NVD - CVE-2026-88772 Detail
- NIST NVD - CVE-2026-88773 Detail
- NIST NVD - CVE-2026-88774 Detail
- NIST NVD - CVE-2026-88775 Detail
- NIST NVD - CVE-2026-88776 Detail
- NIST NVD - CVE-2026-88777 Detail
- NIST NVD - CVE-2026-88778 Detail
- FIRST - Exploit Prediction Scoring System (EPSS)
