İçeriğe geç
Centoculus
tr

Güvenlik uyarısı · Kritik

Citrix NetScaler ADC ve Gateway: kritik bellek açıkları hizmet reddine yol açabiliyor (CVE-2026-120868)

· 4 dakikalık okuma · Centoculus Security Team

tarihinden beri biliniyor

Etkilenenler: 14.1-73.57 ve 13.1-64.39 öncesi NetScaler ADC ve NetScaler Gateway; 14.1-73.58 öncesi NetScaler ADC 14.1-FIPS; 13.1-37.293 öncesi 13.1-FIPS/13.1-NDcPP

Ne oldu

13 Kasım 2026'da Citrix, NetScaler ADC ve NetScaler Gateway için güvenlik güncellemelerini yayımladı (danışma CTX697305). En geniş kapsamda ilgili açık CVE-2026-120868 (CVSS 9.3)'dir. Paket işleme sırasında oluşan bir bellek taşmasıdır ve öngörülemeyen veya hatalı davranışa ya da hizmet reddine (DoS) yol açabilir. Danışmaya göre bu açık, yapılandırmasından bağımsız olarak tüm NetScaler ADC ve NetScaler Gateway dağıtımlarını etkilemektedir.

Aynı sürüm, sekiz kritik bellek açığı daha gidermektedir. Bunların her biri yalnızca adı yanında belirtilen özellik yapılandırıldığında önem taşır:

  • CVE-2026-107407 (CVSS 9.3): SMPP trafiğinde bellek taşması. SMPP türündeki Load Balancing veya Content Switching sanal sunucularını etkiler.
  • CVE-2026-107408 (CVSS 9.3): DNS / DNS-over-HTTPS'te bellek bozulması. DNS yük dengeleme ve özyinelemeli DNS çözümlemesi için yapılandırılmış cihazları etkiler.
  • CVE-2026-107409 (CVSS 9.3): DNS-over-HTTPS'te bellek bozulması. HTTPS üzerinden DNS yük dengelemesini etkiler.
  • CVE-2026-107410 (CVSS 9.3): NetScaler Push'ta bellek taşması. PUSH türündeki Load Balancing sanal sunucularını etkiler.
  • CVE-2026-107412 (CVSS 9.5): birden çok bellek taşması. Gateway veya AAA sanal sunucusu olarak yapılandırılmış cihazları etkiler.
  • CVE-2026-107415 (CVSS 9.3): Email OTP kimlik doğrulamasında bellek taşması. Email Action içeren yapılandırmaları etkiler.
  • CVE-2026-111344 (CVSS 9.3): Endpoint Analysis (EPA/EPAS) içinde bellek taşması. Endpoint Analysis kullanan VPN veya AAA sanal sunucularını etkiler.
  • CVE-2026-120864 (CVSS 9.3): ICA proxy'de bellek taşması. Gateway VPN, AAA veya CR (HDX türü) sanal sunucularını etkiler.

Bunların tümü öngörülemeyen davranışa veya hizmet reddine yol açabilir. Yayım tarihinde Citrix, bu açıklar için bilinen bir istismar olmadığını belirtti. CISA bunları istismar edilmiş olarak listelemiyor.

Aynı gün Citrix, diğer ürünlerdeki üç açığı da kendi danışmalarında giderdi:

  • CVE-2026-120869 (CVSS 9.4): NetScaler Console'da kimlik doğrulama atlatma. 14.1-74.34 ve sonrasında düzeltildi.
  • CVE-2026-118268: Windows için Secure Access Client'ta SYSTEM yetkisine yükseltme. 26.11.1.6 ve sonrasında düzeltildi.
  • CVE-2026-118269: Linux için Secure Access Client'ta root yetkisine yükseltme. 26.10.4 ve sonrasında düzeltildi.

Kimler etkileniyor

Aşağıdaki düzeltilmiş sürümlerden daha eski NetScaler ADC veya NetScaler Gateway çalıştırıyorsanız CVE-2026-120868 sizi etkiler:

  • NetScaler ADC ve NetScaler Gateway 14.1: 14.1-73.57 ve sonrasında düzeltildi
  • NetScaler ADC ve NetScaler Gateway 13.1: 13.1-64.39 ve 13.1 dalının sonraki sürümlerinde düzeltildi
  • NetScaler ADC 14.1-FIPS: 14.1-73.58 FIPS ve 14.1-FIPS dalının sonraki sürümlerinde düzeltildi
  • NetScaler ADC 13.1-FIPS ve 13.1-NDcPP: 13.1-37.293 ve 13.1-FIPS ile 13.1-NDcPP dallarının sonraki sürümlerinde düzeltildi

Diğer sekiz NetScaler ADC ve Gateway açığı, yalnızca yanlarında adı verilen özellik yapılandırıldığında geçerlidir. CVE-2026-120868 yapılandırmaya bağlı değildir; bu nedenle düzeltilmiş sürümlerin altındaki her cihazın güncellenmesi gerekir.

NetScaler çalıştırmayan sistemler etkilenmez: normal web sunucuları, posta sunucuları veya barındırma panelleri gibi. Yalnızca NetScaler Console veya Secure Access Client kullanıyorsanız, bu ürünler için Citrix'in ayrı danışmalarına bakın.

Şimdi yapılacaklar

  1. HA çiftleri, bulut üzerindeki VPX örnekleri ve müşteriler için çalıştırdığınız cihazlar dahil tüm NetScaler ADC ve NetScaler Gateway örneklerini listeleyin.
  2. Güncellemeden önce her örneğin yapılandırmasını (ns.conf) yedekleyin.
  3. 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS veya 13.1-37.293 (FIPS/NDcPP) sürümüne ya da dalınızın daha yeni bir sürümüne güncelleyin. HA çiftlerinde önce ikincil düğümü güncelleyin, ardından yük devretme yapın ve eski birincil düğümü güncelleyin.
  4. Yeniden başlatmadan sonra sanal sunucuların çalıştığını ve Gateway, VPN ile kimlik doğrulama girişlerinin çalıştığını kontrol edin.
  5. NetScaler Console kullanıyorsanız 14.1-74.34 veya sonrasına güncelleyin. Secure Access Client kurulumlarını Windows (26.11.1.6) ve Linux (26.10.4) için güncelleyin.
  6. Hemen güncelleyemiyorsanız, yönetim arayüzlerine erişimi güvenilir ağlarla sınırlayın ve güncelleme kurulana kadar cihazları beklenmedik yeniden başlatmalar veya çökmeler açısından izleyin.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

Yüklü derlemeyi yönetim GUI'sinde veya show ns version CLI komutuyla kontrol edin. Derlemeniz dalınız için düzeltilmiş sürümden düşükse cihaz CVE-2026-120868'e karşı savunmasızdır. Diğer açıkların da geçerli olup olmadığını görmek için yapılandırmanızı yukarıdaki koşullarla karşılaştırın; örneğin SMPP veya PUSH sanal sunucuları, DNS yük dengeleme, Gateway/AAA sanal sunucuları, Email OTP, Endpoint Analysis veya ICA proxy. Tüm ayrıntılar için Citrix'in CTX697305 danışmasına bakın.

Kaynaklar

Diğer kaynaklar (2)

İlgili yazılar