Dua Zero-Day NetScaler Dieksploitasi: Ini Versi Perbaikan dan Langkah Admin

Per 28 September, laporan awal tentang dua zero-day NetScaler yang belum ditambal sudah tidak berlaku. Citrix mengonfirmasi eksploitasi CVE-2026-88771 dan CVE-2026-88772, lalu merilis pembaruan keamanan pada 27 September. Admin perlu memasang build yang sesuai dengan edisi perangkat, menyimpan bukti yang tersedia, dan memeriksa kemungkinan kompromi sebelum patch dipasang. 33350

Versi NetScaler yang sudah diperbaiki

Untuk penggunaan standar NetScaler ADC dan NetScaler Gateway, Citrix menetapkan 14.1-73.37 atau lebih baru serta 13.1-64.23 atau lebih baru sebagai versi yang sudah diperbaiki. Edisi FIPS dan NDcPP memiliki ketentuan terpisah: buletin mencantumkan 14.1-73.37 FIPS atau lebih baru serta 13.1.37.279 atau lebih baru untuk 13.1-FIPS dan 13.1-NDcPP. Cocokkan versi dengan edisi perangkat di buletin Citrix; jangan menganggap persyaratan build standar berlaku untuk semua edisi. 3

Khusus pengguna 13.1, target perbaikan terbaru adalah 13.1-64.23 atau lebih baru. Build yang menutup kerentanan NetScaler sebelumnya belum tentu memenuhi target ini. 34

Bukan kerentanan CVE-2026-19490

CVE-2026-19490 adalah masalah berbeda. Citrix menjelaskannya sebagai bypass autentikasi melalui jalur alternatif, dengan persyaratan konfigurasi tertentu pada virtual server Gateway atau AAA. Build perbaikannya mencakup 14.1-73.32 dan 13.1-63.21—keduanya lebih rendah daripada target perbaikan untuk dua celah RCE terbaru. Jadi, perangkat yang sudah diperbarui untuk CVE-2026-19490 tidak boleh dianggap otomatis terlindungi dari CVE-2026-88771 dan CVE-2026-88772. 420

Laporan yang tersedia menyebut CVE-2026-88771 sebagai celah validasi input yang tidak memadai, yang dapat memungkinkan penyerang tanpa autentikasi menjalankan perintah. Kedua CVE dikategorikan sebagai kerentanan eksekusi kode jarak jauh (RCE), tetapi informasi yang tersedia belum cukup untuk membandingkan mekanisme eksploitasi keduanya secara andal. 335054

Pertimbangkan dampak layanan dan risiko paparan

Mematikan perangkat NetScaler dapat mengganggu akses jarak jauh atau aplikasi yang dilayaninya. Sebaliknya, membiarkan perangkat yang terdampak tetap terbuka sambil menunda pembaruan juga berisiko: Citrix mengonfirmasi bahwa kedua celah telah dieksploitasi pada penerapan yang belum dimitigasi. Prioritaskan pemasangan build yang benar. Jika pembaruan belum bisa dilakukan segera, pertimbangkan membatasi akses dari luar atau menonaktifkan perangkat sementara, dengan memperhitungkan dampak operasionalnya. 350

Perhatian khusus diperlukan untuk 13.1. Jangan menganggap level perbaikan CVE-2026-19490 sudah cukup untuk menutup celah RCE ini. Pastikan versi dan edisi perangkat cocok dengan ketentuan terbaru di buletin Citrix. 320

Simpan bukti dan selidiki periode sebelum patch

Pembaruan menutup kerentanan, tetapi tidak memastikan apakah penyerang sempat mengakses perangkat sebelumnya. Jika kondisi operasional memungkinkan, simpan log, konfigurasi, dan bukti forensik lain yang tersedia sebelum tindakan seperti reboot atau upgrade berpotensi mengubahnya. Setelah itu, periksa aktivitas mencurigakan atau perubahan selama periode sebelum patch. Libatkan tim respons insiden jika ada dugaan kompromi. Pembaruan watchTowr juga menyarankan agar bukti disimpan, perangkat diperiksa, lalu diperbarui ke build yang telah diperbaiki. 33

Citrix telah mengonfirmasi adanya eksploitasi, tetapi laporan yang tersedia belum menjelaskan berapa banyak organisasi terdampak, siapa pelakunya, atau kapan eksploitasi dimulai. Anggap hal-hal tersebut belum diketahui; status perangkat yang sudah ditambal saja tidak cukup untuk memastikan sistem bersih ataupun menetapkan cakupan insiden. 49