Citrix NetScaler: yeni zero-day, yamanın üstüne yama

Ekim 2026’nın ilk günlerinde NetScaler operasyonları peş peşe acil yama döngüsüne girdi. 5 Ekim itibarıyla Citrix, CVE-2026-88779 için vahşi ortamda hedef alınmış saldırılar görüldüğünü doğruladı. Sorun: SAML SP veya SAML IdP olarak yapılandırılmış NetScaler ADC / Gateway’de bellek taşması; yüksek önem (CVSS 4.0 ≈ 8.7). Citrix tarafı DoS etkisi anlatıyor; araştırmacılar RCE ihtimalini de tartışıyor.

Zamanlama kötü: bir önceki haftanın acil yamaları (CVE-2026-88771 / 88772 dahil) yeni bitmişken, SAML koşulu taşıyan kurulumlar yeniden yükseltme istiyor. Sabit sürüm örnekleri duyuruda: 14.1-73.41 ve 13.1-64.28 (FIPS/NDcPP varyantları ayrıca). CISA KEV listesine eklendi; federal ajanslar için 7 Ekim civarı düzeltme penceresi konuşuluyor.

Operasyon checklist’i:

1. Envanter: hangi NetScaler’lar SAML SP/IdP? 2. Sürüm: 14.1-73.41 / 13.1-64.28 (veya ilgili FIPS) üstünde mi? 3. Geçici imza / AppFW deny list varsa doğrula; kalıcı çözüm yükseltme 4. Anormal reboot / DoS belirtilerini son 72 saat logunda tara 5. Değişim penceresini “geçen hafta yamadık” gerekçesiyle erteleme

Not: WatchTowr gibi ekipler bu CVE’yi yeniden üretip ağırlıklı DoS olduğunu; önceki zincirle birlikte cihazı düşürüp diğer açığı hızlandırmak için kullanıldığını öne sürüyor. Pratikte fark etmez — erişilebilir SAML’li appliance = öncelikli yama.

Sonuç: 2026 NetScaler hikâyesi “tek CVE” değil; ardışık zero-day + yama yorgunluğu. Edge SSO kutusu bakımı artık aylık değil, olay odaklı ritim istiyor.