Citrix, NetScaler ve Secure Access İstemcisindeki 12 Güvenlik Açığını Giderdi

Citrix, NetScaler ve Secure Access İstemcisindeki 12 Güvenlik Açığını Giderdi

Citrix, 12 Kasım 2026 tarihinde yaptığı duyuruyla, NetScaler ADC, Citrix NetScaler Gateway ve NetScaler Console ürünlerini etkileyen kritik güvenlik açıklarını gideren yamaları yayınladı. Bu açıklar, hizmet reddi (DoS) veya kimlik doğrulama bypass’ına yol açabilecek potansiyele sahipti.

NetScaler ADC ve NetScaler Gateway’deki Kritik Açıklar

NetScaler ADC ve NetScaler Gateway’i etkileyen kritik güvenlik açıkları şunlardır:

• CVE-2026-120868 (CVSS puanı: 9.3) – Paket İşlemede bellek taşması, öngörülemeyen veya hatalı davranışlara ya da DoS’a neden olabilir. (Tüm NetScaler ADC ve NetScaler Gateway dağıtımları)
• CVE-2026-107407 (CVSS puanı: 9.3) – SMPP trafiğinde bellek taşması, öngörülemeyen veya hatalı davranışlara ya da DoS’a neden olabilir. (SMPP türünde Yük Dengeleme veya İçerik Anahtarlama sanal sunucusu ile yapılandırılmış NetScaler ADC)
• CVE-2026-107408 (CVSS puanı: 9.3) – DNS / DNS-over-HTTPS (DoH) içinde bellek bozulması, öngörülemeyen veya hatalı davranışlara ya da DoS’a neden olabilir. (DNS yük dengeleme ve özyinelemeli DNS çözünürlüğü için yapılandırılmış NetScaler ADC)
• CVE-2026-107409 (CVSS puanı: 9.3) – DNS-over-HTTPS (DoH) içinde bellek bozulması, öngörülemeyen veya hatalı davranışlara ya da DoS’a neden olabilir. (HTTPS üzerinden DNS Yük Dengeleme ile yapılandırılmış NetScaler)
• CVE-2026-107410 (CVSS puanı: 9.3) – NetScaler Push’ta bellek taşması, öngörülemeyen veya hatalı davranışlara ya da DoS’a neden olabilir. (PUSH türünde Yük Dengeleme sanal sunucusu olarak yapılandırılmış NetScaler)
• CVE-2026-107412 (CVSS puanı: 9.5) – Birden fazla bellek taşması güvenlik açığı, öngörülemeyen veya hatalı davranışlara ve DoS’a neden olabilir. (Gateway veya AAA sanal sunucusu olarak yapılandırılmış NetScaler)
• CVE-2026-107415 (CVSS puanı: 9.3) – E-posta OTP kimlik doğrulamasında bellek taşması, öngörülemeyen veya hatalı davranışlara ya da DoS’a neden olabilir. (E-posta Eylemi ile yapılandırılmış NetScaler ADC veya NetScaler Gateway)
• CVE-2026-111344 (CVSS puanı: 9.3) – Uç Nokta Analizi’nde (EPA/EPAS) bellek taşması, öngörülemeyen veya hatalı davranışlara ya da DoS’a neden olabilir. (VPN sanal sunucusu veya Uç Nokta Analizi ile kimlik doğrulama (AAA) sanal sunucusu olarak yapılandırılmış NetScaler)
• CVE-2026-120864 (CVSS puanı: 9.3) – ICA proxy’de bellek taşması, öngörülemeyen veya hatalı davranışlara ya da DoS’a neden olabilir. (Gateway VPN sanal sunucusu, AAA sanal sunucusu veya HDX türünde CR sanal sunucusu olarak yapılandırılmış NetScaler)

Tüm bu sorunlar aşağıdaki sürümlerde giderilmiştir:

• Citrix NetScaler ADC ve Citrix NetScaler Gateway 14.1-73.57 ve sonraki sürümler
• Citrix NetScaler ADC ve Citrix NetScaler Gateway 13.1-64.39 ve 13.1’in sonraki sürümleri
• Citrix NetScaler ADC 14.1-FIPS 14.1-73.58 FIPS ve 14.1-FIPS’in sonraki sürümleri
• Citrix NetScaler ADC 13.1-FIPS ve 13.1-NDcPP 13.1-37.293 ve 13.1-FIPS ve 13.1-NDcPP’nin sonraki sürümleri

NetScaler Console ve Secure Access İstemcisindeki Açıklar

Citrix ayrıca NetScaler Console ve Windows ve Linux için Secure Access İstemcisindeki bazı güvenlik açıklarını da ele aldı:

• CVE-2026-120869 (CVSS puanı: 9.4) – NetScaler Console’da uygunsuz kimlik doğrulama güvenlik açığı, kimliği doğrulanmamış bir saldırganın kimlik doğrulama kontrollerini atlayarak cihazdaki kısıtlı kaynaklara erişmesine olanak tanıyabilir. (NetScaler Console 14.1-74.34 ve sonraki sürümlerde düzeltildi)
• CVE-2026-118268 (CVSS puanı: 8.5) – Windows için Secure Access İstemcisinde uygunsuz ayrıcalık yönetimi güvenlik açığı, düşük ayrıcalıklı bir kullanıcının ayrıcalıklarını SYSTEM düzeyine yükseltmesine olanak tanıyabilir. (Windows için Secure Access İstemcisi 26.11.1.6 ve sonraki sürümlerde düzeltildi)
• CVE-2026-118269 (CVSS puanı: 8.5) – Linux için Secure Access İstemcisinde uygunsuz ayrıcalık yönetimi güvenlik açığı, düşük ayrıcalıklı bir kullanıcının root ayrıcalıkları elde etmesine olanak tanıyabilir. (Linux için Secure Access İstemcisi 26.10.4 ve sonraki sürümlerde düzeltildi)

Citrix, bu güvenlik güncellemelerinin, yapay zeka (AI) destekli kod analizini entegre ederek ürünleri potansiyel tehditler ortaya çıkmadan önce güçlendirmeyi amaçlayan daha derinlemesine bir kod tabanı incelemesinin ardından geldiğini belirtti. Şirket, duyurulan güvenlik açıklarından herhangi birinin istismar edildiğine dair bir bilgisi olmadığını ancak müşterileri, NetScaler’ın güvenlik duruşunu iyileştirmek için tasarlanmış güncellemeleri uygulamaya çağırdı.