WASHINGTON, 27 September 2026 — CISA mengonfirmasi bahwa dua kerentanan zero-day kritis pada Citrix NetScaler ADC dan Citrix NetScaler Gateway telah dieksploitasi dalam serangan. Kerentanan tersebut adalah CVE-2026-88771 dan CVE-2026-88772.
Keduanya disebut dapat memungkinkan remote code execution atau eksekusi kode jarak jauh secara independen. CISA kemudian memasukkan kedua celah itu ke katalog Known Exploited Vulnerabilities (KEV), daftar kerentanan yang telah terbukti digunakan dalam serangan.
Pengumuman ini meningkatkan urgensi bagi organisasi yang menggunakan NetScaler sebagai gateway akses jarak jauh, penyeimbang beban, atau komponen infrastruktur aplikasi. Perangkat yang berada di garis depan jaringan dapat menjadi sasaran penting karena berfungsi sebagai penghubung antara pengguna eksternal dan layanan internal.
Dua kerentanan dikonfirmasi telah dieksploitasi
Menurut informasi CISA, CVE-2026-88771 dan CVE-2026-88772 memengaruhi Citrix NetScaler ADC serta Citrix NetScaler Gateway. Status keduanya bukan sekadar potensi risiko: CISA menyatakan bahwa kerentanan tersebut telah dieksploitasi dalam serangan.
CISA juga mengategorikan kedua isu itu sebagai kerentanan kritis dan zero-day. Istilah zero-day dalam konteks ini menunjukkan bahwa eksploitasi telah berlangsung sebelum perbaikan resmi tersedia, sebagaimana disebut dalam pemberitaan keamanan sebelumnya.
Karena masing-masing celah dilaporkan dapat memungkinkan eksekusi kode jarak jauh, dampaknya berpotensi mencakup pengambilalihan proses pada perangkat yang terdampak. Namun, detail teknis mengenai metode eksploitasi, kelompok penyerang, target, serta indikator kompromi belum dipublikasikan secara luas dalam informasi yang tersedia.
Pembedaan ini penting. Fakta yang telah dikonfirmasi adalah keberadaan dua kerentanan, dampaknya yang dinilai kritis, dan eksploitasi aktif yang membuatnya masuk katalog KEV. Detail mengenai bagaimana serangan dilakukan atau apakah organisasi tertentu telah terdampak tidak boleh dianggap sebagai fakta tanpa pengungkapan resmi.
Pengungkapan Citrix mencakup delapan CVE
Pengungkapan Citrix yang diperkuat oleh informasi CISA mencakup delapan kerentanan NetScaler dengan rentang nomor CVE-2026-88771 hingga CVE-2026-88778. Meski demikian, dua kerentanan yang secara khusus dimasukkan CISA ke katalog KEV adalah CVE-2026-88771 dan CVE-2026-88772.
Perbedaan antara cakupan pengungkapan Citrix dan entri KEV perlu diperhatikan oleh tim keamanan. Organisasi tidak seharusnya hanya memeriksa dua nomor CVE yang tercantum dalam katalog CISA, tetapi juga meninjau buletin resmi Citrix untuk memahami seluruh delapan kerentanan, versi produk yang terdampak, serta pembaruan atau mitigasi yang berlaku.
Informasi versi dan instruksi teknis dapat berubah seiring diterbitkannya pembaruan vendor. Karena itu, pemeriksaan terhadap buletin resmi Citrix harus menjadi langkah utama sebelum menentukan tindakan perbaikan pada lingkungan produksi.
Risiko bagi gateway akses jarak jauh
NetScaler Gateway kerap digunakan untuk menyediakan akses jarak jauh ke aplikasi dan sumber daya perusahaan. Sementara itu, NetScaler ADC dapat ditempatkan di depan layanan yang harus tersedia bagi pengguna atau sistem dari luar jaringan internal.
Posisi tersebut menjadikan perangkat NetScaler bagian penting dari permukaan serangan organisasi. Kerentanan yang memungkinkan eksekusi kode jarak jauh dapat memberikan jalur bagi penyerang untuk mengganggu perangkat, memengaruhi layanan yang melewatinya, atau berusaha memperluas akses ke lingkungan lain.
Risiko praktis bergantung pada konfigurasi, versi perangkat lunak, paparan jaringan, serta kontrol keamanan tambahan yang diterapkan setiap organisasi. Namun, status eksploitasi aktif membuat penundaan pemeriksaan menjadi lebih berisiko, terutama pada perangkat yang dapat diakses dari internet.
Langkah yang perlu dilakukan pengguna NetScaler
Organisasi yang mengoperasikan Citrix NetScaler ADC atau NetScaler Gateway perlu memprioritaskan beberapa tindakan berikut:
- Periksa buletin resmi Citrix. Cocokkan versi perangkat yang digunakan dengan daftar versi terdampak, pembaruan, dan panduan mitigasi yang diterbitkan vendor.
- Terapkan pembaruan yang tersedia. Proses pemasangan perlu mengikuti prosedur perubahan organisasi, termasuk pencadangan konfigurasi dan pengujian layanan yang relevan.
- Identifikasi aset yang terpapar. Inventarisasi seluruh perangkat NetScaler, terutama instance yang dapat diakses dari internet atau digunakan untuk akses jarak jauh.
- Tinjau log dan aktivitas administrasi. Pemeriksaan perlu mencakup aktivitas yang tidak biasa pada perangkat, perubahan konfigurasi, akun administratif, serta pola akses yang menyimpang dari kebiasaan.
- Koordinasikan respons insiden. Jika ditemukan indikasi mencurigakan, tim infrastruktur, keamanan, dan respons insiden perlu bekerja bersama untuk mengisolasi perangkat dan menjaga bukti yang diperlukan untuk analisis.
Langkah-langkah tersebut tidak menggantikan instruksi vendor. Mitigasi sementara, jika diperlukan sebelum pembaruan dapat diterapkan, harus merujuk pada panduan resmi Citrix dan mempertimbangkan dampaknya terhadap ketersediaan akses pengguna.
Jangan mengandalkan status perangkat yang tampak normal
Perangkat gateway yang masih berfungsi normal belum tentu bebas dari kompromi. Eksploitasi dapat terjadi tanpa langsung menimbulkan gangguan layanan yang mudah terlihat. Karena itu, pemeriksaan keamanan sebaiknya tidak hanya berfokus pada apakah pengguna masih dapat terhubung, tetapi juga pada perubahan administrasi dan aktivitas jaringan yang tidak lazim.
Organisasi juga perlu memastikan bahwa hasil pemeriksaan dicatat dengan baik. Dokumentasi versi perangkat, waktu penerapan pembaruan, temuan dari peninjauan log, dan keputusan mitigasi dapat membantu menentukan apakah diperlukan investigasi lanjutan.
Fokus pada informasi yang telah dikonfirmasi
Hingga informasi yang tersedia saat ini, CISA telah mengonfirmasi tiga hal utama: CVE-2026-88771 dan CVE-2026-88772 merupakan kerentanan kritis pada produk NetScaler, keduanya dapat memungkinkan eksekusi kode jarak jauh secara independen, dan keduanya telah dieksploitasi dalam serangan.
Masuknya dua CVE tersebut ke katalog KEV menjadi sinyal bagi organisasi untuk mempercepat penilaian dan perbaikan. Namun, rincian tentang pelaku, target, teknik serangan, dan indikator kompromi tetap perlu menunggu pengungkapan resmi yang dapat diverifikasi.
Bagi pengguna Citrix NetScaler, prioritasnya adalah memeriksa buletin Citrix, mengidentifikasi perangkat yang terdampak, menerapkan pembaruan atau mitigasi yang direkomendasikan, dan meninjau log untuk mencari aktivitas mencurigakan. Respons yang terukur dan berbasis informasi resmi akan membantu mengurangi risiko tanpa menarik kesimpulan yang belum didukung bukti.
