Sömürülen CVE-2026-88771 ve CVE-2026-88772 için NetScaler ADC ve Gateway remediation'ının nasıl doğrulanacağı

Citrix'in 27 Eylül 2026'da yayımladığı NetScaler bülteni, kapsadığı zafiyetlerden ikisinin — CVE-2026-88771 ve CVE-2026-88772 — daha önceden sahadа sömürüldüğünü doğruluyor. dev.to'da yayımlanan bir anlatım bu olguyu, 'tamamlandı' tanımının daha katı olmasını savunmak için kullanıyor: bir değişiklik kaydının kapatılması, bir bakım faaliyetinin yapıldığını gösterir; cihazın gerçekten düzeltildiğini değil.

Çalışan cihaz üzerinde build string'i okuyun

dev.to yazısındaki ilk kontrol noktası, sürüm bilgisinin değişiklik kaydından değil, cihazın kendisinden alınmasıdır. Citrix tarafından açıklanan ve NCSC-NL ile CERT-FR tarafından da tekrarlanan düzeltilmiş build'ler şunlardır: ADC ve Gateway'in 14.1 dalında 14.1-73.37 ve sonrası, 13.1'de 13.1-64.23 ve sonrası, ADC FIPS için 14.1-73.37 FIPS ve sonrası, ayrıca ADC FIPS ve NDcPP için 13.1-37.279 ve sonrası. Daha eski bir build'e karşı kapatılan bir kayıt, cihazı etkilenen aralıkta bırakır; kontrolün çalışan sisteme karşı yapılması bu yüzden gereklidir.

Hangi rollerin ön koşulları taşıdığını yeniden kontrol edin

Paketteki bazı zafiyetler yalnızca cihazın kullanım şekline bağlı olarak geçerlidir; bu nedenle yazı, yükseltme sonrasında yapılandırmanın doğrulanmasını öneriyor. CVE-2026-88772 DTLS gerektirir; Citrix bunun bir VPN virtual server üzerinde varsayılan olarak etkin olduğunu belirtiyor. CVE-2026-88773 HTTP'in etkin olmasını gerektiriyor. CVE-2026-88775; SSL VPN, ICA Proxy, CVPN ve RDP Proxy gibi Gateway rollerine veya bir AAA virtual server'a uygulanır. CVE-2026-88776 Oracle türü bir load-balancing virtual server gerektirirken, CVE-2026-88777, HTTP olmayan bir Layer 7 protokolü kullanan load-balancing, content-switching veya CGNAT LSN/NAT64 yapılandırması gerektirir. Bu ayarların yeniden kontrol edilmesi, nesneler oluşturulurken devralınan ve bir daha gözden geçirilmeyen varsayılanları da ortaya çıkarır.

Değişiklikten önce kanıtı saklayın, sonrasında inceleyin

Sömürü, düzeltmelerden önce gerçekleştiği için NCSC-NL, güncellemeyi yüklemeden önce ilgili log'ların ve bir bellek dökümünün saklanmasını, sonrasında bu malzemenin incelenmesini ve Citrix'in NetScaler konsolu üzerinden yayımladığı ihlal göstergelerinin (IoC) kontrol edilmesini öneriyor. dev.to yazısı bunu, daha fazla kötüye kullanımı önlemek ile kötüye kullanımın zaten gerçekleşip gerçekleşmediğini yanıtlamak arasındaki fark olarak çerçeveliyor ve log'ların, build string'in, çalışan yapılandırmanın ve varsa crash malzemesinin yalnızca atıfta bulunmak yerine doğrudan değişiklik kaydına eklenmesini tavsiye ediyor.

Hatırlanan cihazları değil, tüm envanteri kapsayın

Yama kampanyaları genellikle operatörlerin aklında kalan cihazlara ulaşır; bu nedenle failover ve bekleme (standby) birimlerinin bağımsız olarak kontrol edilmesi gerekir: bir olay sırasında gerçekleşecek bir geçiş, trafiği bekleme biriminin çalıştırdığı sürüme yönlendirir. NetScaler instance'ları kullanan hibrit Secure Private Access dağıtımları da aynı doğrulama turuna dahil edilmelidir. Temiz bir doğrulamadan sonra bile kayda değer iki konu, yazıya göre şunlardır: açıklık döneminden herhangi bir göstergenin hâlâ incelenmemiş olup olmadığı ve Citrix tarafından yönetilen bileşenlerin kapsam içinde olup olmadığı; çünkü bunlar Cloud Software Group tarafından ayrı bir düzenleme kapsamında güncellenirken bülten müşteri tarafından yönetilen cihazları kapsıyor.

İnternet taraması ne gösteriyor

NetScaler parmak izi için yapılan bir ZoomEye sorgusu, sorgu zamanında 239.201 varlıkla eşleşti; CVE-2026-88772 için CVE'ye özgü filtre ise hiçbir sonuç döndürmedi. Yazı, iki sayıdan hiçbirinin açıklık tahmini olarak görülmemesi konusunda uyarıyor: sıfır, yakın tarihli bir açıklamanın endeksleme zamanlamasını yansıtır ve parmak izi eşleşmesi yalnızca bir cihazın NetScaler ADC veya Gateway olarak göründüğünü gösterir; zafiyet içerdiğinin doğrulandığını değil.

Neden önemli

ADC ve Gateway cihazları ağ kenarında yer alır ve VPN ile load-balancing trafiğini sonlandırır; iki başlıca CVE de yamalar mevcut olmadan önce sömürülmüştü. Bu nedenle düzeltilmiş bir build yüklemek gerekli ama yeterli değildir: ekiplerin ayrıca açıklık penceresi boyunca ne olduğuna dair kanıta ve bekleme birimleri dahil envanterdeki her birimin düzeltilmiş bir build çalıştırdığına dair güvenceye ihtiyacı vardır. dev.to yazısındaki, build string, role bağlı yapılandırma, kanıt toplama ve tüm envanter kapsamını içeren doğrulama dizisi, aktif olarak sömürülen herhangi bir edge zafiyetine genellenebilir. İşaret ettiği birincil kaynaklar — Citrix bülteni CTX697096, NCSC-NL tavsiyesi NCSC-2026-0394 ve CERT-FR uyarıları CERTFR-2026-ALE-011 ile CERTFR-2026-AVI-1235 — yetkili ayrıntıları içerir.