Citrix XenServer'da kritik açık: yönetim ağı doğrudan hedefte

Citrix'in sahibi Cloud Software Group, 3 Kasım 2026'da XenServer için "kritik" olarak derecelendirilen CTX697256 numaralı güvenlik bültenini yayımladı. Bülten tek seferde dokuz zafiyeti kapatıyor. En ağırı, kimlik doğrulaması yapmamış bir saldırganın yönetim ağı üzerinden sunucunun tamamını ele geçirmesine imkân veriyor.

Olay nedir?

Bültenin başlık zafiyeti CVE-2026-98432. Yönetim ağına erişebilen, oturum açmamış bir saldırgan XenServer sunucusunu ve üzerinde çalışan Workload Balancing ile Conversion Manager appliance'larını ele geçirebiliyor. Etkilenen sürümler XenServer 8.4 ve XenServer 9; ayrıca 2026.1.1 öncesi Workload Balancing ve 2026.2.0 öncesi Conversion Manager.

İkinci kritik madde CVE-2026-102703. Bu kez saldırgan dışarıda değil içeride: misafir sanal makine içindeki yetkili bir kullanıcı ana makineyi ele geçirebiliyor. Yani sanal makineler arasındaki izolasyon kırılıyor.

Kalan zafiyetler ağ üzerinden önyükleme ve Secure Boot ile ilgili. Aynı ağdaki bir saldırgan, PXE ile açılan bir sanal makineyi ilk önyükleme anında ele geçirebiliyor; misafir makinedeki bir yönetici ise Secure Boot politikasını atlatabiliyor.

Neden önemli?

Birinci sebep zafiyetin bulunduğu katman. Burada söz konusu olan tek bir uygulama değil, sanallaştırma katmanının kendisi. Hypervisor ele geçirildiğinde üzerindeki bütün sanal sunucular — etki alanı denetleyicisi, dosya sunucusu, muhasebe ve ERP sunucusu — aynı anda saldırganın eline geçer. Sanal makine içindeki antivirüs veya EDR bu katmanı görmez.

İkinci sebep daha sinsi: Citrix bu zafiyetler için CVSS puanı yayımlamadı. Üstelik CVE-2026-98432 kimliği, CVE.org kayıtlarında bir Linux çekirdeği IPv4 zafiyetiyle aynı numarayı taşıyor; o zafiyetin 9,8 puanı bu Citrix açığına ait değil. Puana göre önceliklendirme yapan yama süreçleri bu bülteni tamamen ıskalayabilir. Takip, CVE numarası üzerinden değil CTX697256 bülten numarası üzerinden yapılmalı.

Türkiye ve KOBİ tarafındaki karşılığı

Sahada gördüğümüz tablo şu: orta ölçekli şirketlerin çoğunda tüm sunucu yükü tek bir sanallaştırma sunucusunda, çoğu zaman da tek bir fiziksel makinede duruyor. İnşaat ofisleri, denizcilik acenteleri, lojistik firmaları ve üretim tesisleri için bu, yedekliliği olmayan tek bir kritik nokta demek.

Asıl risk ise yönetim arayüzünün ağdaki konumu. Birçok kurumsal ağda hypervisor yönetim arayüzü, kullanıcı bilgisayarlarıyla aynı VLAN üzerinde duruyor ve ofisteki herhangi bir makineden erişilebiliyor. Bu bülten tam olarak bu tasarımı cezalandırıyor: saldırganın yönetim ağına ulaşması yeterli, parolaya ihtiyacı yok.

Veri koruma tarafında da sonuç ağır. Tek bir hypervisor üzerinde personel özlük dosyaları, müşteri kayıtları ve kamera görüntüleri bir arada durabiliyor. Kişisel Verileri Koruma Kurulu'nun 24 Ocak 2019 tarihli kararı, veri ihlallerinin öğrenilmesinden itibaren en geç 72 saat içinde Kurul'a bildirilmesini zorunlu kılıyor. Hypervisor seviyesindeki bir ele geçirmede hangi verinin etkilendiğini bu süre içinde tespit etmek, yeterli log tutulmuyorsa mümkün olmuyor.

Kamer Bilişim olarak ne öneriyoruz?

• Envanteri çıkarın ve yamayı planlayın. Elinizdeki XenServer havuzlarının, Workload Balancing ve Conversion Manager appliance'larının sürümlerini listeleyin. Workload Balancing'i 2026.1.1, Conversion Manager'ı 2026.2.0 sürümüne yükseltin; XenServer 8.4 ve 9 için kullandığınız kanaldaki son güncellemeyi uygulayın.
• Yönetim ağını kullanıcı ağından ayırın. Hypervisor yönetim arayüzlerine yalnızca belirli yönetici makinelerinden veya bir atlama sunucusundan erişilmesini sağlayın. Bu ayrım, yama uygulanana kadar geçen sürede de koruma sağlar ve yamadan sonra kalıcı olarak faydalıdır.
• 3 Kasım sonrasındaki yönetim loglarını gözden geçirin. Yönetici IP aralığınız dışından gelen oturum açma ve komut kayıtlarını kontrol edin. Aynı çalışmada misafir sanal makinelerdeki yönetici yetkilerini ve PXE önyükleme yapan ağ segmentlerini de gözden geçirmekte fayda var.

Sanallaştırma altyapınızın sürüm durumunu ve yönetim ağı erişimini birlikte gözden geçirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: GBHackers, "Critical Citrix XenServer Flaw Allows Unauthenticated Attackers to Take Control of Virtualization Hosts", 5 Kasım 2026; Citrix güvenlik bülteni CTX697256, 3 Kasım 2026.