Citrix, NetScaler ADC ve Gateway'deki CVSS 10.0 request smuggling açığını yamaladı

Citrix ne açıkladı

27 Eylül 2026'da yayımlanan bir Citrix güvenlik bülteni, advisory üzerine yapılan bir dev.to analizine göre NetScaler ADC ve NetScaler Gateway'deki sekiz açığı kapsıyor. Öne çıkan, CVSS 3.1 temel puanı 10.0 olan ve vektöründe S:C içeren CVE-2026-88773 — bu işaret, etkinin bir güvenlik scope sınırını aştığını gösteriyor; yani hatalı bileşen cihazın kendisiyken etkilenen bileşen onun arkasındaki her şey.

NVD kaydı açığı, yaygın adıyla request smuggling olarak bilinen zafiyet ailesi olan CWE-444, HTTP isteklerinin tutarsız yorumlanması olarak sınıflandırıyor. Advisory'de adı geçen etkilenen sürümler, 14.1-73.37 öncesi ve 13.1-64.23 öncesi ADC sürümleri ile eşleşen FIPS ve NDcPP sürümleri, ayrıca aynı iki sürüm numarasından önceki Gateway sürümleri.

Gruptaki geri kalanlar kapsam olarak daha küçük ama ciddi olmaya devam ediyor. CVE-2026-88775 ve CVE-2026-88776 9.8 puanla değerlendirildi ve düzensiz davranış ya da hizmet reddi üretebilecek bellek taşma durumları olarak tanımlanıyor; CVE-2026-88777 de aynı tanımı paylaşıyor. CVE-2026-88772 ve CVE-2026-88774 sırasıyla 8.1 ve 7.2 puanlı; 7.5 puanlı CVE-2026-88778 ise önceki durumdan türetilen öngörülebilir değerlerle ilgili. Sekizinin tamamı tek bir sabit sürüm listesini paylaşıyor, yani tek bir yükseltme hepsini birlikte kapatıyor.

Cihazın konumu açığı neden büyütüyor

dev.to analizi temel sorunu şöyle çerçeveliyor: bir uygulamanın önündeki NetScaler, istemci bağlantılarını sonlandırır ve kendi backend bağlantılarını açar — bir ADC'nin görevi tam olarak budur ve tam da bu yüzden o konumdaki bir ayrıştırma uyuşmazlığı tüm sistem genelinde sonuçlar doğurur.

Request smuggling, iki ayrıştırıcının bir HTTP isteğinin nerede bittiği ve sonrakinin nerede başladığı konusunda anlaşamadığı durumlarda işler. Content-Length başlığı Transfer-Encoding başlığıyla çeliştiğinde ya da bir transfer kodlaması, bir ayrıştırıcının kabul ederken diğerinin yok sayacağı kadar gizlendiğinde, mesaj sınırı iki farklı yerden çizilmiş olur. Saldırgan, ön ucun tek bir birim olarak ilettiği bir isteğin gövdesine kısmi bir istek yerleştirebilir; backend o gövdeyi ikinci bir isteğin başlangıcı olarak okur. İstek, ADC'nin kimliği doğrulanmış bir kullanıcı adına açtığı bir bağlantı üzerinden geldiği için, kaçak istek kurbanın kimlik doğrulamasını devralır.

Ön koşullar, tespit ve geçici önlemler

Citrix advisory'si somut ayrıştırma uyuşmazlığını tanımlamıyor ve dev.to yazarı bilinçli olarak tahmin yürütüyor değil. Sınıflandırmanın ve dağıtım konumunun ima ettiği şu: saldırganın sanal sunucuya erişmesi gerekiyor — ADC internet trafiği servis ettiği her yerde bu geçerli — ve backend'de bağlantı yeniden kullanımından yararlanıyor; keep-alive bunu varsayılan yapıyor. Aynı havuzlanmış bağlantıya denk gelen bir kurban isteği, saldırganın kontrolündeki bir şey değil bir zamanlama koşulu; analiz bu yüzden smuggling saldırılarının belirli bir hesabı hedeflemek yerine kimlik bilgisi ele geçirmek için kullanılma eğiliminde olduğunu belirtiyor. Bu koşulların hiçbiri bir kimlik bilgisine sahip olmayı gerektirmiyor.

Tespit zor, çünkü kaçak istek backend'e meşru HTTP gibi görünür. Ön uç günlükleri bir istek kaydeder; backend günlükleri iki kaydeder — biri eşleşen ön uç girdisi olmayan ya da farklı bir kullanıcıya atfedilen bir istek. dev.to yazısı, yalnızca bir tarafta var olan istekleri ortaya çıkarmak için ADC ve uygulama günlüklerini paylaşılan bir istek tanımlayıcısı üzerinden birleştirmeyi öneriyor ve bir korelasyon tanımlayıcısının bulunmadığı yerlerde zaman damgası ve kaynak adres üzerinden yapılacak yedek birleştirmenin bir load balancer arkasında güvenilmez olduğu konusunda uyarıyor.

Çözüm, dala göre 14.1-73.37 veya 13.1-64.23'e yükseltme; FIPS ve NDcPP sürümleri advisory'de ayrıca belirtilmiş. Hemen yükseltemeyecek ekipler için analiz, politika desteği izin verdiği yerlerde sanal sunucuların backend'in beklemediği Transfer-Encoding varyasyonlarını kabul etmesini kısıtlamayı ve uygulama ekiplerine backend'lerin tek bir istekte hem Content-Length hem Transfer-Encoding'e uyup uymadığını sormayı öneriyor.

Neden önemli

Bir ADC'de tam CVSS puanı yalnızca bir cihaz sorunu değil: scope değişikliği, cihazın arkasındaki uygulamaları etkilenen bileşen yapıyor. ADC'yi ağ altyapısı olarak gören ve uygulamalarından ayrı bir takvimde yamalayan kurumlar yanlış sınırı yönetiyor. Yamayla yalnızca bu somut ayrıştırma uyuşmazlığı kapanıyor, bu tür uyuşmazlıkları tehlikeli kılan mimari değil — reverse proxy'ler, API gateway'leri, WAF'lar ve service mesh'lerin hepsi aynı konumda duruyor, her birinin kendi HTTP ayrıştırıcısı var ve her biri aynı sınıf açığa aday.