Citrix NetScaler ADC Sistemlerinde Yama Sonrası SAML Kaynaklı Çökme Sorunu Araştırılıyor
Citrix, Eylül 2026 sonunda yayımladığı acil güvenlik güncellemesinin ardından NetScaler ADC cihazlarında ortaya çıkan yeni bir SAML kimlik doğrulama sorununu araştırıyor. 3 Ekim 2026 itibarıyla güncel yazılım sürümlerini kullanan bazı sistemlerde tekrarlayan yeniden başlatmalar ve hizmet kesintileri bildiriliyor. Şirketin geliştirme ve destek ekipleri, özellikle Gateway ve AAA işlevleriyle SAML kullanan müşteri ortamlarındaki sorunun nedenini belirlemeye çalışıyor.
NetScaler ADC Cihazlarında Yama Sonrası Kesintiler Bildiriliyor
Citrix’in 27 Eylül 2026’da yayımladığı acil güncelleme, NetScaler ADC ve NetScaler Gateway ürünlerindeki iki kritik sıfır gün güvenlik açığını gidermeyi hedefliyordu. Ancak güvenlik araştırmacıları ve BT hizmet sağlayıcıları, güncellemeyi yükleyen bazı cihazlarda saldırı girişimleriyle bağlantılı çökmeler yaşandığını aktarıyor.
Güvenlik uzmanı Kevin Beaumont, 13.1 ve 14.1 ürün yazılımı sürümlerini kullanan, güncellenmiş NetScaler tuzak sistemlerinde (honeypot) birden fazla IP adresinden gelen trafik sonrasında çökmeler gözlemlediğini belirtiyor. Beaumont’un paylaşımlarında, sistemlerden birinde indirilen kötü amaçlı bir ikili dosyanın çalıştırıldığı bilgisi de yer alıyor.
Araştırmacının gözlemleri, saldırganların geniş kapsamlı ve ayrım gözetmeyen denemeler yürüttüğüne işaret ediyor. Ancak mevcut bulgular, saldırıların yeni bir güvenlik açığından yararlanıp yararlanmadığını kesin olarak ortaya koymuyor.
Reddit üzerinde 2 Ekim 2026’da açılan bir tartışmada, bir BT hizmet sağlayıcısı birden fazla müşterisinin güncel NetScaler cihazlarında aktif saldırı girişimleriyle karşılaştığını bildiriyor. Sağlayıcı, 14.1-73.37 sürümüne yükseltilmiş sistemlerin tekrarlayan yeniden başlatmalar nedeniyle hizmet kesintisi yaşadığını ve Citrix nezdinde birden fazla kritik destek kaydı oluşturduğunu aktarıyor.
Siber güvenlik yayınlarında yer alan teknik değerlendirmeler, olayların değiştirilmiş SAML kimlik doğrulama kayıtlarıyla ilişkili olabileceğini belirtiyor. İlk bulgular, saldırı trafiğinin NetScaler üzerindeki nsaaad hizmetinin çökmesine neden olduğunu gösteriyor.
SAML, farklı sistemler arasında kimlik doğrulama ve yetkilendirme bilgilerinin aktarılmasını sağlayan XML tabanlı bir standarttır. NetScaler ortamlarında SAML yapılandırmalarının Gateway veya AAA işlevleriyle birlikte kullanılması, yeni sorunun etki alanını belirleyen temel koşul olarak öne çıkıyor.
Citrix, 2 Ekim 2026 tarihinde yayımladığı güvenlik bilgilendirmesinde, müşteri tarafından yönetilen NetScaler kurulumlarında yeni bir SAML kimlik doğrulama problemini araştırdığını doğruluyor. Şirket, özellikle sanal ağ geçidi veya AAA sunucusu olarak yapılandırılan sistemlerin ilgili kimlik doğrulama ayarlarını gözden geçirmesini istiyor.
Citrix’in açıklamasına göre sorun, belirli yapılandırmalara sahip NetScaler kurulumlarını etkiliyor. Aşağıdaki komut kalıplarından en az birinin yapılandırmada bulunması, sistemin inceleme kapsamına alınmasını gerektiriyor:
add authentication samlAction.*
add authentication samlIdPProfile.*BT ekipleri, NetScaler yapılandırmalarında bu komutları kontrol ederek SAML kullanımını belirleyebilir. İlgili yapılandırmaları kullanan kurumların, cihazlarında yeniden başlatma veya kimlik doğrulama kesintisi yaşanıp yaşanmadığını da değerlendirmesi gerekiyor.
Citrix, sorunla karşılaşan müşterilerin destek ekipleriyle iletişime geçmesini öneriyor. Şirketin ilerleyen süreçte ayrıntılı bir güvenlik duyurusu yayımlaması ve düzeltme sağlaması bekleniyor; ancak mevcut açıklama kesin bir yayın tarihi içermiyor.
Eylül sonunda yayımlanan güvenlik güncellemesinin ardından ortaya çıkan yeni belirtiler, yalnızca sürüm numarasına bakılarak güvenlik durumunun doğrulanamayacağını gösteriyor. Kurumların yama seviyesinin yanında kimlik doğrulama yapılandırmalarını, cihaz günlüklerini ve beklenmeyen yeniden başlatmaları da incelemesi gerekiyor.
Özellikle internete açık NetScaler Gateway sistemlerini yöneten ekiplerin SAML yapılandırmalarını kontrol etmesi, olağan dışı kaynak IP adreslerinden gelen istekleri değerlendirmesi ve kritik hizmet kesintilerini kayıt altına alması önem taşıyor. Citrix’in yeni güvenlik duyurusu yayımlanana kadar kurumların destek kanallarından güncel teknik yönlendirme alması gerekiyor.
