🌐 Citrix NetScaler'da kritik açık aktif istismarda: saldırganlar log zehirleyip web shell ve FreeBSD zararlısı bırakıyor

Siber Haberler · Güncel
, , ,
1

Ne oldu? Citrix NetScaler ADC ve NetScaler Gateway’deki kritik bir açık (CVE-2026-88771) sahada istismar ediliyor. Zscaler ThreatLabz, saldırganların cihazlarda komut çalıştırıp web shell kurduğunu ve bir FreeBSD zararlısı yüklediğini raporladı. Kontrol tarihi: 25 Ekim 2026 (TR).

Açık ne?

  • CVE-2026-88771: Kimlik doğrulaması gerektirmeyen uzaktan komut çalıştırma (RCE). Zscaler raporuna göre CVSS v3.1’de 9.8, v4.0’da 9.5.
  • Citrix açığı 27 Eylül 2026’da açıkladı ve güncelleme ile korunmamış cihazlarda istismar olduğunu doğruladı.
  • NetScaler cihazları genelde ağın dış kenarında (uzaktan erişim, VPN, uygulama trafiği) durduğu için ele geçirilmeleri doğrudan iç ağa köprü oluyor.

Saldırı nasıl işliyor?

Zscaler, aşamalı bir istismar zinciri tarif ediyor:

  1. Saldırgan önce web erişim loglarına kodlanmış içerik yazdırıyor — isteklerde dikkat çeken bir INDEX: işareti ve User-Agent alanında kodlu veri var.
  2. Sonra, bir “Packet Processing Engine” hata mesajına benzeyen sahte metin içeren kimlik doğrulama istekleri gönderiyor.
  3. Logları işleyen bir Perl tanılama betiği bu sahte girdiyi güvensiz biçimde ele alınca, eklenen komutlar betiğin yetkisiyle çalışıyor. Bu gecikmeli yöntem, sıradan görünen bir isteğin neden daha büyük bir saldırının parçası olabileceğini açıklıyor.
  4. Gözlenen yükler Nx_7508.php ve Nx_7508.pl adlı web shell’leri kurmaya, kw2-freebsd-x64-s11 adlı 64-bit FreeBSD ikilisini indirip çalıştırmaya çalışıyor.

Ne yapmalısın?

  • Yamalı derlemelere geç: Zscaler raporundaki sabit sürümler NetScaler ADC/Gateway 14.1-73.46 veya üstü ve 13.1-64.29 veya üstü (FIPS varyantları için 14.1-73.46 FIPS+ ve 13.1.37.283+). Kendi ürününün doğru derlemesini doğrula.
  • Yama tek başına yetmez: Güncelleme yeni istismarı durdurur ama önceden bırakılmış bir web shell veya zararlıyı kaldırmaz. Güncellemeden önce kanıt topla (uzak syslog, teknik destek paketi, core dump), sonra logları incele.
  • Loglarda şüpheli INDEX: User-Agent değerlerini, sahte “pitboss PPE” hata mesajlarını, beklenmeyen /logon/LogonPoint/tmindex.html gibi istekleri ve cihazın tanımadığın sunuculara açtığı bağlantıları ara. Şüphe varsa cihazı izole et; erişebildiği parola, jeton ve sertifikaları döndür.

Kaynaklar: Cyber Security News (23 Ekim 2026), Zscaler ThreatLabz teknik analizi. Kontrol tarihi: 25 Ekim 2026.