# 🌐 Citrix NetScaler'da kritik açık aktif istismarda: saldırganlar log zehirleyip web shell ve FreeBSD zararlısı bırakıyor

**URL:** <https://sibernobet.com/t/citrix-netscalerda-kritik-acik-aktif-istismarda-saldirganlar-log-zehirleyip-web-shell-ve-freebsd-zararlisi-birakiyor/198>\
**Category:** Siber Haberler · Güncel\
**Tags:** siber-haberler, citrix, netscaler, web-shell\
**Created:** [Ekim 24, 2026, 11:58ös UTC](https://sibernobet.com/t/citrix-netscalerda-kritik-acik-aktif-istismarda-saldirganlar-log-zehirleyip-web-shell-ve-freebsd-zararlisi-birakiyor/198 "2026-10-24T23:58:35Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\
**Post date:** [Ekim 24, 2026, 11:58ös UTC](https://sibernobet.com/t/citrix-netscalerda-kritik-acik-aktif-istismarda-saldirganlar-log-zehirleyip-web-shell-ve-freebsd-zararlisi-birakiyor/198/1 "2026-10-24T23:58:35Z")

</div>

> **Ne oldu?** Citrix NetScaler ADC ve NetScaler Gateway’deki kritik bir açık (CVE-2026-88771) sahada istismar ediliyor. Zscaler ThreatLabz, saldırganların cihazlarda komut çalıştırıp **web shell** kurduğunu ve bir **FreeBSD zararlısı** yüklediğini raporladı. **Kontrol tarihi: 25 Ekim 2026 (TR).**

## Açık ne?

- **CVE-2026-88771:** Kimlik doğrulaması gerektirmeyen uzaktan komut çalıştırma (RCE). Zscaler raporuna göre CVSS v3.1’de **9.8** , v4.0’da **9.5**.
- Citrix açığı **27 Eylül 2026** ’da açıkladı ve güncelleme ile korunmamış cihazlarda istismar olduğunu doğruladı.
- NetScaler cihazları genelde ağın **dış kenarında** (uzaktan erişim, VPN, uygulama trafiği) durduğu için ele geçirilmeleri doğrudan iç ağa köprü oluyor.

## Saldırı nasıl işliyor?

Zscaler, aşamalı bir istismar zinciri tarif ediyor:

1. Saldırgan önce web erişim loglarına **kodlanmış içerik** yazdırıyor — isteklerde dikkat çeken bir `INDEX:` işareti ve User-Agent alanında kodlu veri var.
2. Sonra, bir “Packet Processing Engine” hata mesajına benzeyen sahte metin içeren kimlik doğrulama istekleri gönderiyor.
3. Logları işleyen bir **Perl tanılama betiği** bu sahte girdiyi güvensiz biçimde ele alınca, eklenen komutlar betiğin yetkisiyle çalışıyor. Bu gecikmeli yöntem, sıradan görünen bir isteğin neden daha büyük bir saldırının parçası olabileceğini açıklıyor.
4. Gözlenen yükler `Nx_7508.php` ve `Nx_7508.pl` adlı web shell’leri kurmaya, `kw2-freebsd-x64-s11` adlı 64-bit FreeBSD ikilisini indirip çalıştırmaya çalışıyor.

## Ne yapmalısın?

- **Yamalı derlemelere geç:** Zscaler raporundaki sabit sürümler NetScaler ADC/Gateway **14.1-73.46** veya üstü ve **13.1-64.29** veya üstü (FIPS varyantları için 14.1-73.46 FIPS+ ve 13.1.37.283+). Kendi ürününün doğru derlemesini doğrula.
- **Yama tek başına yetmez:** Güncelleme yeni istismarı durdurur ama **önceden bırakılmış bir web shell veya zararlıyı kaldırmaz.** Güncellemeden önce kanıt topla (uzak syslog, teknik destek paketi, core dump), sonra logları incele.
- Loglarda şüpheli `INDEX:` User-Agent değerlerini, sahte “pitboss PPE” hata mesajlarını, beklenmeyen `/logon/LogonPoint/tmindex.html` gibi istekleri ve cihazın tanımadığın sunuculara açtığı bağlantıları ara. Şüphe varsa cihazı izole et; erişebildiği parola, jeton ve sertifikaları döndür.

_Kaynaklar: [Cyber Security News (23 Ekim 2026)](https://cybersecuritynews.com/citrix-netscaler-rce-flaw/), [Zscaler ThreatLabz teknik analizi](https://www.zscaler.com/blogs/security-research/cve-2026-88771-inside-exploitation-critical-netscaler-rce-vulnerability). Kontrol tarihi: 25 Ekim 2026._