Aktif olarak istismar edilen NetScaler zero-day açığı ve Cisco SD-WAN bypass zaafiyeti OT kenar katmanını hedefliyor

Bu haftanın en keskin OT güvenlik riskleri, kontrol ağının içinde değil onun önünde duruyor; bu çıkarım, danışman Max Gilg tarafından dev.to'da yayımlanan ve Almanya, Avusturya ve İsviçre'yi kapsayan haftalık OT güvenlik bülteninden geliyor. 2026 yılının 41. takvim haftasını ele alan rapor, Citrix NetScaler gateway'lerinde aktif olarak istismar edilen bir zero-day açığı ile Cisco Catalyst SD-WAN Manager'daki kritik bir kimlik doğrulama bypass zaafiyetine dikkat çekiyor ve tek başına yama uygulamanın yeterli olmadığını savunuyor: saldırganlar ele geçirilmiş cihazlara çoktan webshell ve arka kapı yerleştirmiş olabilir.

Aktif olarak istismar edilen NetScaler SAML zero-day açığı

Saldırganlar, SAML yapılandırmasına sahip NetScaler gateway'lerini hedefleyerek CVE-2026-88779 açığını istismar ediyor. BleepingComputer'a atıf yapan bülten, Citrix'nin sorunu hizmet dışı bırakma (denial of service) olarak sınıflandırdığını, ancak önerilen remediation adımlarının basit bir güncellemeden çok incident response'a benzediğini belirtiyor.

Dikkat çekici bir ayrıntı, açığın daha önceki zaafiyetlere karşı kısa süre önce yamalanmış cihazları da etkilemesi; yani yakın tarihli bir yama döngüsü güvenliğin kanıtı değil. Citrix düzeltmeyi 4 Ekim 2026'da erken saatlerde yayımladı ve 14.1-73.37 build'inde ek olarak yeniden başlatmalar raporlandı. Yöneticiler yapılandırmalarında add authentication samlAction veya samlIdPProfile girdisi olup olmadığını kontrol etmeli ve 14.1-73.41 veya 13.1-64.28 sürümüne yükseltmelidir; FIPS varyantları içinse 14.1-73.41 FIPS veya 13.1-37282 geçerlidir.

Yamalama yalnızca ilk adım. Bülten, webshell'leri, yeni oluşturulan yerel hesapları ve tanınmayan oturumları kapsayan aktif bir ele geçirilme avı çağrısı yapıyor; 2 Ekim'den bu yana nsaaad sürecinin çökmesi olası bir gösterge olarak işaretleniyor. Sonrasında tüm oturumlar ve kimlik bilgileri sıfırlanmalı. Ele geçirilme belirtisi görüldüğünde verilen tavsiye, cihazı yeniden kurmak ve bu işlem tamamlanana kadar kontrol sistemlerine erişimini kesmek.

Cisco SD-WAN Manager kimlik doğrulama bypass zaafiyeti

İkinci konu, raporda atıf yapılan Cisco Security Advisory'e göre CVSS puanı 9.8 olan ve saldırganların kimlik doğrulamayı atlatmasına imkân tanıyan, bir workaround'u bulunmayan CVE-2026-76504. Operatörler advisory'de listelenen düzeltilmiş sürümlere geçmeli, yönetici hesaplarını gözden geçirmeli ve yönetim arayüzünü açık internetten değil yalnızca adanmış bir yönetim ağından erişilebilir hale getirmeli.

DACH genelinde sektör etkisi

Elektrik ve şebeke operatörleri için ana maruziyet yine çevre ve uzaktan erişim sistemlerinden geçiyor. NetScaler saldırıları belirli bir sektöre yönelik olmaktan çok geniş çaplıydı; ancak şebeke operatörleri ve belediye enerji şirketleri uzaktan bakımı çoğunlukla tam bu sınıf cihazlar üzerinden yürütüyor. Bülten ayrıca, Avrupa'daki rüzgâr ve güneş enerjisi parklarındaki kontrol ve oturum açma sistemlerinin internetten açıkça erişilebilir olduğunu saptayan ayrı bir Help Net Security analizine dikkat çekiyor ve açıkta kalan sistemler için genel IP aralıklarının denetlenmesini öneriyor.

Gıda ve içecek tarafında o hafta bölgede bir üreticiye yönelik kamuya açık doğrulanmış saldırı kaydedilmedi; ancak süt işletmeleri, bira fabrikaları ve dolum tesisleri uzaktan bakım, saha ağları, e-posta ve uzaktan erişim için aynı kenar cihazlarına bel bağlı. Rapor, süreklilik planlarının bulut, ERP veya lojistik BT'nin üç ila yedi günlük kesintilerini kapsamasını öneriyor; çevrimdışı reçete ve parti listeleri, manuel teslimat belgeleri ve soğuk depo acil durum prosedürleriyle birlikte, hizmet sağlayıcılarla sözleşmeyle belirlenmiş bildirim kanalları, kurtarma süreleri ve yedekler de dahil.

NetScaler veya Cisco SD-WAN üzerinden müşterilerine tesislere uzaktan erişim sunan makine üreticileri ve sistem entegratörlerinin ise derhal yama uygulaması, kimlik bilgilerini değiştirmesi, her uzak oturum için MFA ve müşteri onayı zorunlu tutması ve SD-WAN policy'sinin devre dışı olduğu durumlarda bile OT segmentlerinin yalıtımını koruduğunu doğrulaması tavsiye ediliyor.

Şimdi ne yapmalı

Bülten tavsiyelerini beş adımda özetliyor: kenar katmanını derhal yamalayın; yani NetScaler 14.1-73.41 veya 13.1-64.28 ile advisory'de belirtilen düzeltilmiş SD-WAN Manager sürümleri; ardından webshell'ler, sahte yerel ve API hesapları ile şüpheli oturumlar için av yapın; tüm VPN ve yönetici oturumlarını kapatın, parolaları değiştirin ve her uzaktan erişim yolunda phishing'e dayanıklı MFA'yı zorunlu kılın; yönetim arayüzlerini internetten çekin; ve ömrü tamamlanmış saha cihazlarını envanterleyip yükseltme yapılana kadar arayüzlerini kısıtlayın.

Neden önemli

Haber, OT ekiplerinin sürekli yeniden öğrendiği bir kalıbı vurguluyor: sızma olayları kontrol ortamlarına, PLC'lerin kendisinden çok daha sık olarak kenar katmanı üzerinden, yani gateway'ler, VPN concentrator'ları ve SD-WAN yönetim düzlemleri yoluyla ulaşıyor. Yama kapıyı kapatır ama kapanmadan önce sızanları dışarı atamaz; ele geçirilme avı rehberi bu yüzden sürüm numaraları kadar önemli. Uzaktan bakımı, saha ağlarını veya tedarikçi erişimini bu ürünlere dayanan her kuruluş için bu, yamala-ve-unut işi değil, yamala-ve-soruştur işidir.