Citrix Tambal Dua Zero-Day NetScaler, CISA Beri Tenggat Tiga Hari

Telset.id – Citrix merilis patch untuk dua kerentanan zero-day kritis di NetScaler ADC dan NetScaler Gateway yang dilaporkan sudah dieksploitasi dalam serangan nyata. Kedua celah keamanan tersebut terdaftar sebagai CVE-2026-88771 dan CVE-2026-88772, masing-masing dengan skor keparahan 9.5/10 atau kategori kritis. Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) turut memasukkan kedua kerentanan itu ke katalog known exploited flaws (KEV) dan memberi tenggat tiga hari bagi instansi Federal Civilian Executive Branch (FCEB) untuk menambalnya.

Langkah cepat CISA menegaskan bahwa ancaman ini bukan sekadar peringatan teoretis. Eksploitasi terhadap CVE-2026-88771 dan CVE-2026-88772 pada deployment NetScaler yang belum dimitigasi telah teramati, seperti dikonfirmasi Citrix dalam buletin keamanannya. Artinya, organisasi yang masih menjalankan versi terdampak berisiko mengalami kompromi sebelum patch sempat diterapkan.

Kedua celah ini menyerang perangkat yang selama ini menjadi tulang punggung akses jarak jauh bagi banyak perusahaan. NetScaler ADC dan Gateway bertugas memberikan akses ke aplikasi dan desktop internal, sehingga perangkatnya terekspos langsung ke internet dan menjadi sasaran empuk bagi pelaku ancaman.

Apa yang Sebenarnya Ditambal Citrix

Kerentanan pertama, CVE-2026-88771, merupakan kelemahan validasi input yang memungkinkan penyerang tanpa autentikasi mengeksekusi perintah sewenang-wenang dari jarak jauh alias remote code execution. Kerentanan kedua, CVE-2026-88772, adalah buffer overflow atau memory corruption di NetScaler ADC dan NetScaler Gateway yang bisa dipakai penyerang untuk menjalankan kode berbahaya dari jarak jauh atau memicu Denial of Service (DoS). Keduanya sama-sama mengantongi skor 9.5/10.

Dampak yang ditimbulkan tidak main-main. Bug yang membocorkan token sesi terautentikasi, memungkinkan bypass autentikasi, atau membuka jalan remote code execution dapat memberi pelaku ancaman pijakan awal di dalam organisasi tanpa perlu interaksi dari korban. Dari titik itu, aktor ancaman berpotensi mencuri kredensial, mengakses sumber daya internal, atau bergerak lateral untuk menyebarkan ransomware.

Citrix merilis patch untuk kedua kelemahan tersebut pada NetScaler ADC dan Gateway versi 14.1-73.37 dan 13.1-64.23, termasuk build FIPS yang bersangkutan. Adapun versi yang terdampak mencakup ADC sebelum 14.1-73.37, sebelum 13.1-64.23, sebelum 14.1-73.37 FIPS, serta sebelum 13.1.37.279 FIPS dan NDcPP. Untuk Gateway, versi yang terdampak adalah sebelum 14.1-73.37 dan sebelum 13.1-64.23.

Peringatan dari Admin hingga Lembaga Siber

Sebelum Citrix angkat bicara resmi, sejumlah administrator sudah lebih dulu menerima peringatan. Mengutip laporan BleepingComputer, para admin Citrix di Reddit melaporkan bahwa pemasok TI dan tim keamanan menghubungi organisasi mereka dan menyarankan untuk mematikan perangkat NetScaler. “Kami mendapat panggilan dari tim keamanan pemasok TI kami, mereka tidak bisa memberikan detail apa pun tetapi menyarankan untuk segera mematikan NetScaler kami,” tulis salah satu administrator.

Peringatan serupa disebut datang dari penegak hukum, badan keamanan siber nasional, dan CERT. Pengamat keamanan watchTowr menyatakan pihaknya sedang bereaksi cepat terhadap rumor bahwa sejumlah kerentanan RCE Citrix NetScaler yang belum ditambal beredar di alam liar. “Meski detailnya minim, informasinya kredibel,” ujar watchTowr.

Reaksi juga datang dari Belanda. Pusat Keamanan Siber Nasional Belanda (NCSC-NL) disebut bergerak cepat bahkan sebelum Citrix mengungkap kerentanan tersebut secara publik. BleepingComputer melaporkan bahwa organisasi itu diduga telah memberi tahu sejumlah organisasi di negaranya soal zero-day tersebut, dengan informasi yang diterima dari CERT mitra Eropa mengenai dua kerentanan yang secara independen bisa berujung pada remote code execution.

Di sisi lain, kesadaran akan risiko rantai pasok keamanan juga terus tumbuh. Perusahaan kini makin memperhitungkan bagaimana teknologi seperti Claude Pimpin Riset AI dipakai dalam operasional mereka, seiring makin banyaknya proses bisnis yang menyentuh data sensitif.

Mengapa NetScaler Jadi Incaran

Ini bukan kali pertama NetScaler menjadi target pelaku kejahatan siber. Perangkat ini kerap dibidik karena fungsinya memberi akses jarak jauh ke aplikasi dan desktop internal, sehingga terekspos ke internet dan bisa diserang secara langsung. Kondisi itu membuat setiap zero-day pada perangkat tersebut bernilai tinggi bagi penyerang.

Faktor lain yang membuat NetScaler menarik adalah visibilitasnya yang relatif terbatas. Organisasi umumnya memasang alat keamanan ekstensif untuk komputer dan server, sementara perangkat jaringan khusus seperti NetScaler kerap berada di area yang kurang terpantau. Kombinasi antara paparan internet, akses istimewa, dan visibilitas yang terbatas inilah yang membuat kerentanan serius pada NetScaler sangat diminati, baik oleh aktor yang didukung negara maupun kelompok yang berorientasi keuntungan.

Bagi organisasi yang masih menjalankan versi terdampak, langkah yang dianjurkan jelas: segera terapkan patch ke NetScaler ADC dan Gateway 14.1-73.37 atau 13.1-64.23 beserta build FIPS terkait. Penerapan patch menjadi satu-satunya cara untuk menutup celah sebelum eksploitasi meluas.

Tekanan tenggat dari CISA menunjukkan bahwa jalur eksploitasi ini sudah cukup matang untuk dipakai dalam skala luas. Instansi FCEB diberi waktu hingga Rabu, 30 September, untuk menambal kedua kerentanan. Bagi perusahaan di luar cakupan mandat tersebut, kecepatan menambal tetap menjadi penentu apakah perangkat NetScaler mereka bertahan atau justru menjadi pintu masuk berikutnya.

Perkembangan ini juga menjadi pengingat bahwa perangkat edge yang jarang diawasi bisa menyimpan risiko besar. Seperti halnya kasus Apple Makin Susah dalam konteks geopolitik teknologi, faktor eksternal kerap memengaruhi seberapa cepat sebuah organisasi merespons ancaman.

Dengan eksploitasi yang telah teramati di alam liar dan tenggat patch yang sangat singkat, NetScaler ADC dan Gateway kini berada di garis depan prioritas keamanan. Organisasi yang belum menambal disarankan tidak menunda, mengingat kombinasi paparan internet dan akses istimewa yang melekat pada perangkat ini membuat setiap jam tanpa patch menjadi jendela risiko yang nyata.