CISA, İstismar Edilen Citrix Açığı İçin 29 Ağustos Verdi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), güvenlik araştırmacılarının açığın ilk açıklanandan çok daha tehlikeli olduğunu ve şu anda aktif biçimde istismar edildiğini göstermesinin ardından federal kurumlara bir Citrix NetScaler açığını cumartesi, 29 Ağustos'a kadar yamalama emri verdi.

CVE-2026-8452 olarak izlenen güvenlik açığı, Gateway VPN veya AAA sanal sunucularıyla yapılandırılmış Citrix NetScaler ADC ve NetScaler Gateway cihazlarını etkiliyor. Citrix, bellek taşması hatasını 30 Haziran'da açıklayıp yamaladı ve yalnızca "öngörülemeyen veya hatalı davranışa ve hizmet aksatmaya" yol açabileceğini belirtmişti. Bu değerlendirme, watchTowr Labs araştırmacılarının 14 Ağustos'ta aynı açığın kimlik doğrulaması olmadan root yetkisiyle tam uzaktan kod çalıştırmaya zincirlenebileceğini gösteren teknik bir analiz ve kavram kanıtlama kodu yayımlamasıyla değişti.

watchTowr'un yazısı yayımlandıktan kısa süre sonra aktif istismar başladı. Tehdit istihbaratı firması Defused ilk istismar girişimlerini doğruladı; güvenlik şirketi Previdian ise saldırganların üç farklı ülkedeki sistemlerden, x.php ve z.php adlı web kabukları yerleştirdiğini ve ele geçirilen cihazlarda keşif komutları çalıştırdığını gözlemlediğini bildirdi. Birden fazla araştırmacı, bu deseni belirli kurumları hedeflemek yerine internete açık cihazlara toplu istismar denemesi gönderilen "rastgele saldır" saldırıları olarak tanımladı.

CISA, CVE-2026-8452'yi 26 Ağustos'ta İstismar Edilen Bilinen Güvenlik Açıkları kataloğuna ekledi ve Bağlayıcı Operasyonel Direktif 26-04 kapsamında, Federal Sivil Yürütme Organı kurumlarına tüm savunmasız NetScaler cihazlarını 29 Ağustos'a kadar güvence altına alma emri verdi. Direktif özellikle ABD federal kurumlarını kapsıyor, ancak güvenlik araştırmacıları NetScaler ADC veya Gateway kullanan tüm kuruluşları yamayı acil kabul etmeye çağırıyor.

Düzeltmeler NetScaler 14.1-72.61, 13.1-63.18 ve 13.1-37.272 sürümlerinde mevcut. En son haberlere göre Citrix'in kendi güvenlik bildirimi, açığın gerçek ortamda istismar edildiğini kabul edecek şekilde güncellenmemişti. İnternet tarama hizmeti Shadowserver, çevrimiçi 22.000'den fazla açıkta NetScaler ADC cihazı ve yaklaşık 1.800 açıkta Gateway örneği tespit etti; bunların kaçının yamayı zaten uyguladığı bilinmiyor.