Citrix NetScaler’daki Kritik Açık İçin Saldırı Girişimleri Tespit Edildi

Citrix NetScaler güvenlik açığı, saldırganların kimlik doğrulamasını aşmak amacıyla kullandığı saldırı girişimleri arasında yer almaya başladı. CVE-2026-19490 olarak izlenen kritik zafiyet, belirli NetScaler ADC ve NetScaler Gateway yapılandırmalarında uzaktan kimlik doğrulama kontrolünün aşılmasına yol açıyor. Previdian sensörleri 3 Eylül 2026’da Avustralya, ABD ve Almanya kaynaklı istekler tespit ederken araştırmacılar henüz gerçek sistemlerde başarılı bir ihlal gerçekleştiğini doğrulamadı.

CVE-2026-19490 NetScaler Yapılandırmalarını Hedefliyor

3 Eylül’de Previdian altyapısına ulaşan istekler, yayımlanan PoC ile eşleşen saldırı trafiğinin farklı kaynaklardan geldiğini gösterdi. Previdian kurucusu Ryan Dewhurst, sensörlerinin üç farklı ülkeden gelen istekleri kaydettiğini açıklarken elde edilen verinin istismar girişimlerini gösterdiğini fakat gerçek bir sistemin ele geçirildiğini kanıtlamadığını belirtti.

NetScaler kimlik doğrulama açığı, özellikle cihazın Gateway ya da AAA sanal sunucusu olarak kullanıldığı kurulumları ilgilendiriyor. Citrix’in 19 Ağustos tarihli güvenlik bültenine göre güvenlik sorunu CWE-288 kapsamında alternatif bir yol üzerinden kimlik doğrulamasının atlatılmasına dayanıyor ve CVSS v4.0 skoru 9,3 olarak değerlendiriliyor.

Citrix’in güvenlik bülteni, NetScaler ADC ile NetScaler Gateway’in 14.1-73.32 öncesindeki sürümlerini etkilenen ana sürüm grubu içinde gösteriyor. 13.1 serisinde ise 13.1-63.21 öncesi sürümler risk taşıyor; FIPS ile NDcPP dağıtımları için ayrıca farklı güncelleme eşikleri bulunuyor.

SAML yapılandırma açığı, belirli sürümlerde zafiyetin devreye girmesi açısından ayrıca önem taşıyor. Citrix, 14.1-43.56 ve 13.1-61.28 gibi sürüm eşiklerinden itibaren SAML action yapılandırmasının gerekli koşullardan biri olduğunu belirtirken daha eski sürümlerde Gateway veya AAA sanal sunucusunun kullanılması tek başına ilgili ön koşulu karşılayabiliyor.

Yönetim ekipleri etkilenen sistemleri kontrol ederken add authentication samlAction, add authentication vserver veya add vpn vserver yapılandırmalarını inceleyebiliyor. Citrix, güvenlik açığı için herhangi bir geçici çözüm sunmadığını ve müşterilerin desteklenen güvenli sürümlere yükseltme yapmasını tavsiye ediyor.

İnternete açık NetScaler altyapısı, saldırganların doğrudan erişebildiği ağ geçidi katmanında çalıştığı için kimlik doğrulama açıklarını özellikle kritik hâle getiriyor. NetScaler Gateway zafiyeti üzerinden başarılı bir saldırı gerçekleşmesi durumunda risk, yalnızca cihazın kendisiyle sınırlı kalmayıp uzaktan erişim hizmetlerinin güvenliği açısından da değerlendirilmek zorunda kalıyor.

Previdian’ın 4 Eylül’de güncellediği telemetri kaydı, söz konusu CVE için bir sensörde sekiz saldırı girişimi ile beş farklı saldırgan IP adresi gözlendiğini gösteriyor. Araştırma kuruluşu ayrıca açığın 2 Eylül’de yayımlanan bir PoC’nin ardından 3 Eylül’de sensörlerinde görülmeye başladığını bildiriyor.

Previdian verileri aynı zamanda açığın henüz CISA’nın Known Exploited Vulnerabilities kataloğunda yer almadığını gösteriyor. Bu ayrım, kurumların yalnızca CISA KEV listesini temel alan yama önceliklendirmesinin yeni ortaya çıkan istismar faaliyetlerini her zaman yakalayamayabileceğini gösteren güncel bir örnek oluşturuyor.

Citrix ADC güvenlik riski, NetScaler ailesinin son yıllarda saldırganların ilgisini çeken ilk güvenlik problemi değil. Shadowserver daha önce CVE-2023-4966, CVE-2023-3519, CVE-2025-5777, CVE-2025-6543 gibi farklı NetScaler açıkları için internet üzerinden erişilebilen sistemlere yönelik izleme ve raporlama çalışmaları yürüttü.

Cloud Software Group’un yayımladığı bültende yer alan güvenlik güncellemesi, müşteri tarafından yönetilen NetScaler ADC ile NetScaler Gateway kurulumlarını kapsıyor. Şirket tarafından yönetilen bulut hizmetlerinde ise gerekli yazılım güncellemelerinin Cloud Software Group tarafından uygulandığı belirtiliyor.

Türkiye’deki kurumların NetScaler kullanan ağlarında öncelikle internet üzerinden erişilebilen ADC ve Gateway cihazlarının envanterini çıkarması gerekiyor. Güvenlik ekipleri ardından sürüm bilgisini, SAML action kullanımını, AAA sanal sunucularını, VPN yapılandırmalarını, kimlik doğrulama kayıtlarını ve son günlerdeki şüpheli erişimleri birlikte inceleyerek risk değerlendirmesi yapabilir.

Kurumsal güvenlik ekipleri ayrıca yalnızca sürüm numarasına bakmak yerine Citrix’in belirttiği ön koşulları kontrol etmeli, ardından cihazları 14.1-73.32 veya üzeri ya da 13.1-63.21 veya üzeri desteklenen sürümlere yükseltmeli. Citrix’in önerdiği güncelleme seviyeleri, CVE-2026-19490 için temel düzeltme adımını oluşturuyor.

Güvenlik operasyon merkezleri ise yayımlanan PoC ile uyumlu istekleri ağ geçidi günlüklerinde ararken yalnızca saldırı trafiğinin görülmesini doğrudan ihlal kanıtı olarak değerlendirmemeli. Previdian’ın kendi metodolojisi de sensör gözlemlerinin saldırı baskısını ortaya koyduğunu fakat tek başına gerçek sistemlerde başarılı bir ele geçirmeyi kanıtlamadığını vurguluyor.

Önümüzdeki dönemde saldırı yüzeyinin nasıl değişeceğini özellikle PoC’nin yaygınlaşması, internet taramalarının artması, yeni tespit kurallarının ortaya çıkması belirleyecek. NetScaler kullanan kuruluşlar için en kritik eşik ise yalnızca yama uygulanması değil, güncelleme sonrasında cihaz günlüklerinin incelenmesi ile geçmişteki şüpheli kimlik doğrulama denemelerinin geriye dönük araştırılması olacak.