Citrix Bleed 2 Skandalı: Güvenlik Açığı İnkârlara Rağmen Aktif Olarak Sömürüldü

Citrix NetScaler ürünlerinde ortaya çıkan kritik güvenlik açığı CVE-2025-5777, kamuoyuna açıklanmasından günler önce siber saldırganlar tarafından aktif olarak sömürüldü. GreyNoise’un verilerine göre, Çin merkezli IP adreslerinden gelen hedefli saldırılar 23 Haziran 2025’te tespit edildi. Ancak Citrix, bu tarihlerde açık istismarı olduğuna dair bir bulgu olmadığını savundu.

Saldırı Başladıktan Günler Sonra PoC Yayınlandı

GreyNoise, CVE-2025-5777 koduyla izlenen bu kritik açığın 4 Temmuz’da kamuya açık bir PoC (kanıt konsept) koduyla paylaşılmasından yaklaşık iki hafta önce sömürüldüğünü doğruladı. Şirket, 7 Temmuz’da oluşturduğu özel bir etiketle bu etkinliği izlemeye başladı. Daha sonra yapılan geriye dönük analizler, saldırıların önceki tarihlere uzandığını ortaya koydu.

9 Temmuz’da ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’na (CISA) yapılan bildirimle açık, Known Exploited Vulnerabilities (KEV) listesine eklendi. Federal kurumlara sadece bir gün içinde sistemlerini yamalamaları talimatı verildi.

Citrix, Uyarılara Rağmen Sessiz Kaldı

Citrix, açığın aktif olarak istismar edildiğine dair bulgular ortaya çıksa da uzun süre sessiz kaldı. Güvenlik araştırmacısı Kevin Beaumont’un tekrarlayan uyarılarına rağmen şirket, 26 Haziran’da yayımladığı güvenlik duyurusunu 11 Temmuz’a kadar güncellemedi. O gün yapılan güncelleme de yalnızca blog yazısına ek notlar eklemekle sınırlı kaldı. Şirket, 15 Temmuz’da yeni bir blog gönderisiyle günlük kayıtlarının nasıl analiz edileceğine dair ipuçları paylaştı.

Ancak bu açıklamalar, sektörden gelen eleştirileri dindirmedi. Uzmanlar, daha önce Citrix ile paylaştıkları istismar göstergelerinin (IOC) şirkete rağmen kamuya açıklanmadığını öne sürdü. BleepingComputer’a konuşan kaynaklar, Citrix’in soruları da yanıtsız bıraktığını ifade etti.

Citrix Bleed 2 olarak adlandırılan açık, NetScaler cihazlarında kullanıcı giriş isteklerini işlerken yapılan yetersiz giriş doğrulamasından kaynaklanıyor. Saldırganlar, login= parametresinde eşittir işaretini atlayarak POST isteği gönderiyor. Bu hata, cihazın belleğinden 127 baytlık veriyi dışarı sızdırmasına yol açıyor.

Horizon3 ve WatchTowr araştırmacıları, bu yöntemin tekrarlanarak geçerli oturum belirteçleri gibi hassas bilgilerin elde edilebildiğini gösterdi. Elde edilen belirteçlerle sistemlerde oturum kaçırma saldırıları düzenlenebiliyor ve iç ağlara yetkisiz erişim sağlanabiliyor.

💡Beaumont, NetScaler günlüklerinde dikkat edilmesi gereken bazı işaretleri şöyle sıraladı:

• /doAuthentication.do adresine sürekli yapılan POST istekleri
• Content-Length: 5 başlığı içeren talepler
• Kullanıcı adı alanında alışılmadık karakterler (örneğin “#”)
• Yanlış alanlara yazılmış bellek içerikleri

Ayrıca, şirketin önerdiği oturum sonlandırma komutlarının eksik olduğunu belirten Beaumont, yalnızca ICA ve PCoIP oturumlarının değil, diğer bağlantı türlerinin de kapatılması gerektiğini vurguladı:

kill pcoipConnection -all  
kill icaconnection -all  
kill rdpConnection -all  
kill sshConnection -all  
kill telnetConnection -all  
kill connConnection -all  
kill aaa session -all  

Yöneticilerin bu komutları uygulamadan önce tüm oturumları gözden geçirmesi öneriliyor. Aynı kullanıcı oturumunda IP adresi değişimi gibi olağandışı hareketler varsa saldırı ihtimali değerlendirilmelidir.

Beaumont, Citrix’in kendi Web Application Firewall çözümünün CVE-2025-5777 açığını tespit edemediğini söyledi. Buna karşılık Imperva, kendi sistemlerinde açığa yönelik 11.5 milyonun üzerinde istismar girişimi tespit ettiklerini ve bu saldırıların %40’ının finans sektörünü hedeflediğini açıkladı.

Citrix, NetScaler ADC ve Gateway ürünleri için gerekli yamaları yayımladı. Şirket, sistem yöneticilerine derhâl güncelleme yapılmasını öneriyor. 12.1 ve 13.0 gibi destek dışı sürümler kullanan müşterilerin, desteklenen sürümlere geçmeleri gerekiyor. Açığı geçici olarak kapatmaya yönelik herhangi bir çözüm bulunmuyor.

Beaumont’un verilerine göre, saldırganlar NetScaler sistemlerine erişimi 20 Haziran itibarıyla sağlamaya başladı. Erişim sayısı, 21 Haziran’dan itibaren hızlı bir şekilde arttı. Araştırmacıya göre bu faaliyetlerin ardında tek bir tehdit grubu olabilir. Saldırganlar, saldırıdan önce sistemleri analiz ederek gerçek NetScaler cihazlarıyla karşılaştıklarından emin oldular. Bu nedenle birçok saldırı, güvenlik tuzaklarına (honeypot) takılmadı.