Hollanda’da Citrix Netscaler Güvenlik Açığı Nedeniyle Kritik Kuruluşlar Saldırıya Uğradı
Hollanda Ulusal Siber Güvenlik Merkezi (NCSC), Citrix Netscaler’da bulunan CVE-2025-6543 kodlu kritik güvenlik açığının ülkedeki birçok önemli kuruluşa yönelik saldırılarda kullanıldığını duyurdu.
Saldırganlar Uzaktan Kod Çalıştırma Yoluyla Kontrolü Ele Geçirdi
Citrix tarafından açıklanan güvenlik açığı, bellek taşması sorunu nedeniyle cihazlarda kontrolün kötü niyetli kişilerin eline geçmesine veya hizmet reddi (DoS) durumuna yol açabiliyor. Açık, Netscaler ADC ve Netscaler Gateway üzerinde Gateway olarak yapılandırıldığında, VPN sanal sunucusu, ICA Proxy, CVPN ve RDP Proxy gibi servislerde ortaya çıkıyor.
⚠️Citrix, 25 Haziran 2025 tarihinde yayınladığı uyarıda aşağıdaki sürümlerin saldırılara karşı savunmasız olduğunu bildirdi:
- 14.1 sürümü 14.1-47.46 öncesi
- 13.1 sürümü 13.1-59.19 öncesi
- 13.1-FIPS ve 13.1-NDcPP sürümleri 13.1-37.236 öncesi
- 12.1 ve 13.0 sürümleri, destek dışı olmalarına rağmen hâlâ risk taşıyor
NCSC, söz konusu açığın Mayıs ayından itibaren sıfır gün (zero-day) olarak kullanıldığını belirtti. Saldırganların saldırı izlerini temizleyerek operasyonel kanıtları yok ettiği aktarıldı. Kurum, saldırıların gelişmiş tekniklere sahip bir veya birkaç aktör tarafından gerçekleştirildiğini vurguladı.
Hollanda Kamu Savcılığı (Openbaar Ministerie – OM) 18 Temmuz tarihinde saldırıya uğradığını doğruladı. Savcılık, operasyonel aksaklıkların yaşandığını ve sistemlerin yavaş yavaş yeniden faaliyete geçtiğini açıkladı.
⚠️NCSC, kurumların aşağıdaki NetScaler sürümlerine yükseltme yapmasını önerdi:
- NetScaler ADC ve NetScaler Gateway 14.1-47.46 ve sonrası
- 13.1-59.19 ve sonrası
- 13.1-FIPS ile 13.1-NDcPP 13.1-37.236 ve sonrası
⚠️Güncellemelerden sonra aktif tüm oturumların sonlandırılması gerektiği belirtildi. Önerilen komutlar şu şekilde açıklandı:
- kill icaconnection -all
- kill pcoipConnection -all
- kill aaa session -all
- kill rdp connection -all
- clear lb persistentSessions
Bu işlemler, önceki CVE-2025-5777 kodlu Citrix Bleed 2 açığı için de tavsiye edilmişti.
NCSC, sistem yöneticilerinden olağandışı dosya oluşturma tarihleri, aynı isimde farklı uzantılara sahip dosyalar ve klasörlerde PHP dosyalarının olmaması gibi işaretlere dikkat etmelerini istedi. Kurum, GitHub üzerinden şüpheli PHP ve XHTML dosyalarını tarayan bir betik yayınladı.
