CISA, Citrix NetScaler Açığı İçin ABD Kurumlarına 29 Ağustos’a Kadar Yama Emri Verdi
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aktif olarak istismar edilen Citrix NetScaler açığı CVE-2026-8452 için federal kurumlara 29 Ağustos 2026’ya kadar yama uygulanması talimatını verdi. NetScaler ADC ile NetScaler Gateway cihazlarını etkileyen kritik güvenlik sorunu, belirli yapılandırmalarda uzaktan kod çalıştırılmasına kadar ilerleyebilen bir bellek taşması açığı olarak öne çıkıyor. Güvenlik araştırmacılarının gerçek saldırılarda istismar edildiğini bildirdiği açık, internete doğrudan açık kurumsal erişim sistemleri açısından ciddi risk oluşturuyor.
NetScaler Açığı Uzaktan Kod Çalıştırmaya Yol Açabiliyor
Güvenlik araştırmacılarının ağustos ayında gerçekleştirdiği testler, CVE-2026-8452 açığının yalnızca hizmet engelleme saldırılarıyla sınırlı olmadığını ortaya koydu. watchTowr araştırmacıları, yamasız NetScaler cihazlarında açığın başarıyla kullanılması hâlinde saldırganların root yetkileriyle uzaktan kod çalıştırabildiğini gösterdi.
Citrix NetScaler ADC ile NetScaler Gateway ürünlerinde ortaya çıkan güvenlik problemi, özellikle Gateway VPN veya AAA sanal sunucularının etkin olduğu yapılandırmaları etkiliyor. Bellek taşması türündeki açık, saldırganın cihazdaki bellek yönetimini manipüle edebilmesi nedeniyle yalnızca erişilebilirlik sorunlarına değil, daha ağır sistem ele geçirme senaryolarına da zemin hazırlayabiliyor.
CISA, 24 Ağustos’ta CVE-2026-8452 numaralı güvenlik açığını Known Exploited Vulnerabilities (KEV) Kataloğu’na dahil etti. ABD federal sivil yürütme kurumları, Binding Operational Directive 26-04 kapsamında açık bulunan Citrix cihazlarını 29 Ağustos’a kadar güvenli hâle getirmek zorunda kalacak.
İnternet üzerindeki NetScaler cihazlarını takip eden Shadowserver verileri, 22 binden fazla NetScaler ADC cihazının ağ üzerinden erişilebilir durumda olduğunu gösteriyor. Shadowserver ayrıca yaklaşık 1.800 NetScaler Gateway örneğini izlerken söz konusu cihazların ne kadarının savunmasız yapılandırmaya sahip olduğu veya yama uyguladığı henüz kesin olarak bilinmiyor.
Siber güvenlik uzmanlarının ağustos ayında yaptığı uyarılar, CVE-2026-8452 saldırılarının rastgele hedef seçen “pray and spray” yöntemleriyle gerçekleştirildiğini ortaya koydu. Saldırganların ele geçirilen cihazlara web shell yerleştirmeye çalışması, açığın yalnızca geçici bir hizmet kesintisi oluşturmak amacıyla kullanılmadığını gösteriyor.
Web shell, saldırganın ele geçirdiği internet bağlantılı sunucuda uzaktan komut çalıştırmasına yarayan bir kod parçası olarak kullanılıyor. NetScaler cihazları ağ geçidi konumunda çalıştığı için başarılı bir saldırı, saldırganlara kurumun dışarıya açık ağ altyapısı üzerinde kalıcı erişim elde etmek açısından değerli bir başlangıç noktası sağlayabiliyor.
Citrix, haziran ayında yayımladığı ilk güvenlik değerlendirmesinde CVE-2026-8452 açığının öngörülemeyen davranışlara veya hizmet engelleme saldırılarına neden olabileceğini açıklamıştı. Şirket o aşamada açığın sınırlanmamış bir şekilde istismar edildiğine ilişkin gözlem bulunmadığını da bildirmişti.
Ağustos ayında yayımlanan araştırmalar ise açığın etkisinin ilk değerlendirmeden daha ciddi olabileceğini gösterdi. Citrix henüz güvenlik duyurusunu aktif saldırıları açıkça yansıtacak şekilde güncellememiş olsa da CISA’nın KEV kaydı, kamu kurumları açısından güvenlik açığının aciliyet seviyesini yükseltti.
Citrix müşterileri açısından CVE-2026-8452 tek başına gündemdeki tek NetScaler güvenlik problemi değil. CVE-2026-19490 ile CVE-2026-19489 numaralı iki açık için de şirket, uzaktan kimlik doğrulaması gerektirmeyen saldırılara karşı sistemlerin derhâl güvence altına alınmasını istemişti.
ABD siber güvenlik kurumunun geçmiş kayıtları da NetScaler altyapısının saldırganların ilgisini düzenli olarak çektiğini gösteriyor. CISA, Kasım 2021’den bu yana 23 Citrix açığını aktif saldırılarda kullanılan güvenlik açıkları listesine eklerken bunlardan yedisinin fidye yazılımı grupları tarafından da istismar edildiği bildirildi.
Türkiye’deki Citrix altyapısını kullanan kurumlar açısından da aynı risk modeli geçerli olduğundan güvenlik ekiplerinin yalnızca kamu kurumlarına yönelik zorunlu süreleri takip etmek yerine NetScaler cihazlarının internet erişimini, etkin sanal sunucularını, yama durumunu ve olası ihlal belirtilerini birlikte kontrol etmesi önem taşıyor. Özellikle uzaktan erişim ile kimlik doğrulama işlevlerini taşıyan ağ geçitleri, saldırganların kurumsal ağa ulaşmak için öncelikli hedefleri arasında yer alabiliyor.
