Citrix Tambal 12 Celah Keamanan NetScaler dan Secure Access Client, Termasuk Bypass Autentikasi

Citrix merilis pembaruan keamanan untuk menambal 12 kerentanan di NetScaler ADC, NetScaler Gateway, NetScaler Console, dan Secure Access Client. Sejumlah celah memiliki skor CVSS di atas 9,0 dan berpotensi menyebabkan denial-of-service hingga bypass autentikasi.

Daftar Kerentanan Kritis di NetScaler ADC dan Gateway

Mayoritas kerentanan yang ditambal berada di NetScaler ADC dan NetScaler Gateway. Sembilan di antaranya tercatat dengan skor CVSS 9,3 hingga 9,5, kategori critical. Semuanya berkaitan dengan masalah memori yang bisa memicu perilaku tak terduga atau denial-of-service (DoS).

Berikut rincian yang dipublikasikan Citrix:

• CVE-2026-120868 (CVSS 9,3): memory overflow pada Packet Processing. Berlaku untuk semua deployment NetScaler ADC dan Gateway.
• CVE-2026-107407 (CVSS 9,3): memory overflow pada trafik SMPP. Menyasar ADC dengan virtual server Load Balancing atau Content Switching tipe SMPP.
• CVE-2026-107408 (CVSS 9,3): korupsi memori pada DNS/DNS-over-HTTPS (DoH). Terdampak pada konfigurasi DNS load balancing dan resolusi DNS rekursif.
• CVE-2026-107409 (CVSS 9,3): korupsi memori pada DoH. Menyasar NetScaler dengan DNS Load Balancing over HTTPS.
• CVE-2026-107410 (CVSS 9,3): memory overflow pada NetScaler Push. Berlaku untuk virtual server Load Balancing tipe PUSH.
• CVE-2026-107412 (CVSS 9,5): beberapa memory overflow yang memicu DoS. Menyasar NetScaler yang dikonfigurasi sebagai Gateway atau virtual server AAA.
• CVE-2026-107415 (CVSS 9,3): memory overflow pada autentikasi Email OTP. Terdampak pada ADC atau Gateway dengan Email Action.
• CVE-2026-111344 (CVSS 9,3): memory overflow pada Endpoint Analysis (EPA/EPAS). Menyasar VPN virtual server atau virtual server autentikasi (AAA) dengan Endpoint Analysis.
• CVE-2026-120864 (CVSS 9,3): memory overflow pada ICA proxy. Berlaku untuk Gateway VPN virtual server, AAA virtual server, atau CR virtual server tipe HDX.

Selain itu, ada tiga celah lain di produk berbeda. CVE-2026-120869 (CVSS 9,4) merupakan improper authentication di NetScaler Console yang memungkinkan penyerang tanpa autentikasi melewati kontrol keamanan dan mengakses sumber daya terbatas. Sementara CVE-2026-118268 (CVSS 8,5) di Secure Access Client for Windows dan CVE-2026-118269 (CVSS 8,5) di versi Linux berkaitan dengan manajemen hak akses yang tidak tepat, memungkinkan pengguna berprivilege rendah menaikkan hak akses menjadi SYSTEM atau root.

Versi Firmware yang Wajib Diperbarui

Citrix telah menyediakan patch untuk seluruh kerentanan tersebut. Pengguna NetScaler ADC dan Gateway diminta segera bermigrasi ke versi yang diperbaiki, yakni:

• NetScaler ADC dan Gateway 14.1-73.57 dan rilis setelahnya
• NetScaler ADC dan Gateway 13.1-64.39 dan rilis setelahnya di jalur 13.1
• NetScaler ADC 14.1-FIPS 14.1-73.58 FIPS dan rilis setelahnya
• NetScaler ADC 13.1-FIPS dan 13.1-NDcPP 13.1-37.293 dan rilis setelahnya

Untuk NetScaler Console, perbaikan tersedia di versi 14.1-74.34 dan setelahnya. Secure Access Client for Windows ditambal di versi 26.11.1.6, sedangkan versi Linux di 26.10.4.

Dalam pengumumannya, Citrix menegaskan pembaruan ini dirancang untuk "enhance the security posture of NetScaler" atau memperkuat postur keamanan produk mereka. Perusahaan juga menyatakan belum menemukan bukti eksploitasi aktif terhadap celah-celah tersebut.

Kronologi dan Konteks: AI Masuk ke Proses Audit Kode

Menariknya, gelombang patch ini bukan sekadar respons atas laporan peneliti keamanan. Citrix menyebut pembaruan lahir dari tinjauan lebih dalam terhadap basis kode mereka, dengan mengintegrasikan analisis kode berbantuan kecerdasan buatan (AI). Tujuannya mendeteksi dan menyelesaikan kerentanan sebelum ancaman potensial muncul.

Pendekatan ini menandai pergeseran cara vendor keamanan bekerja. Alih-alih menunggu celah ditemukan pihak luar, perusahaan mencoba menemukan kelemahan sendiri melalui otomatisasi. Bagi pengguna NetScaler, hasilnya adalah rentetan CVE yang dirilis bersamaan — sebuah pola yang belakangan makin sering terlihat di industri.

NetScaler sendiri merupakan perangkat yang kerap menjadi sasaran. Sebagai gerbang akses ke aplikasi internal dan layanan VPN, perangkat ini menyimpan jalur masuk yang sensitif. Riwayat menunjukkan celah di NetScaler pernah dieksploitasi secara luas, sehingga setiap pembaruan keamanan di produk ini layak diperhatikan tim TI.

Skor CVSS yang tinggi tidak otomatis berarti eksploitasi mudah dilakukan. Namun, kombinasi antara authentication bypass dan denial-of-service di perangkat yang menghadap internet membuat prioritas penambalan naik. Serangan DoS bisa melumpuhkan layanan, sementara bypass autentikasi membuka pintu akses tanpa kredensial sah.

Dampak bagi Pengguna dan Reaksi Industri

Bagi organisasi yang menjalankan NetScaler ADC, Gateway, atau Console, langkah pertama adalah menginventarisasi versi yang terpasang. Deployment dengan konfigurasi spesifik — SMPP, DNS load balancing, Email OTP, Endpoint Analysis, atau ICA proxy — perlu dicek satu per satu karena kerentanan menyerang fitur yang berbeda.

Pengguna Secure Access Client di Windows dan Linux juga tak luput. Celah eskalasi hak akses di sisi klien bisa dimanfaatkan penyerang yang sudah memiliki akses terbatas untuk naik ke level SYSTEM atau root. Dampaknya, kontrol di tingkat pengguna bisa diakali.

Citrix menegaskan belum ada laporan eksploitasi. Namun, pengumuman patch biasanya diikuti oleh upaya pemindaian massal. Penyerang sering memindai perangkat yang belum diperbarui begitu detail kerentanan dipublikasikan. Karena itu, penundaan penambalan memperbesar risiko.

Informasi teknis lebih lanjut tersedia di laporan The Hacker News. Pembaruan dari Citrix juga dapat dipantau melalui situs resmi Citrix.

Langkah Selanjutnya: Prioritas Penambalan

Tim keamanan sebaiknya memprioritaskan perangkat yang terekspos internet. NetScaler Gateway dan virtual server VPN yang melayani akses jarak jauh berada di garis depan. Setelah itu, NetScaler Console yang memiliki celah bypass autentikasi perlu ditangani karena memungkinkan akses tanpa kredensial.

Untuk lingkungan dengan kepatuhan ketat, jalur FIPS dan NDcPP juga sudah tersedia patch-nya. Organisasi yang belum bisa segera memperbarui disarankan membatasi akses ke antarmuka manajemen dan memantau log untuk aktivitas mencurigakan.

Citrix menekankan pembaruan dirancang memperkuat keamanan NetScaler. Dengan 12 celah dalam satu rilis, pesan implisitnya jelas: audit internal dan otomatisasi analisis kode akan terus menghasilkan temuan, dan siklus penambalan menjadi rutinitas yang tak bisa dihindari.

Analisis Redaksi

Keputusan Citrix mengintegrasikan analisis kode berbantuan AI patut dicatat, tetapi juga memunculkan pertanyaan. Jika AI mampu menemukan 12 celah dalam satu putaran audit, berapa banyak lagi yang belum terdeteksi? Publikasi CVE secara massal bisa dibaca sebagai transparansi, namun sekaligus mengindikasikan bahwa basis kode NetScaler menyimpan kompleksitas yang tinggi. Bagi pelanggan, yang terpenting bukan metode penemuannya, melainkan kecepatan patch tersedia dan kejelasan panduan.

Yang kerap terlewat adalah sisi operasional. Banyak organisasi menunda penambalan karena khawatir mengganggu layanan. Padahal, celah seperti CVE-2026-120869 yang memungkinkan bypass autentikasi di NetScaler Console tidak menunggu lama untuk dipindai penyerang. Skor CVSS 9,4 semestinya menjadi alarm, bukan sekadar angka di pengumuman.

Citrix menyatakan belum ada eksploitasi. Pernyataan itu melegakan, tetapi bukan alasan untuk bersantai. Dalam sejarah keamanan, jeda antara publikasi patch dan eksploitasi massal sering kali hanya hitungan hari. Prioritas seharusnya diberikan pada perangkat yang menghadap internet, lalu diperluas ke seluruh lingkungan. Penambalan bukan beban, melainkan bagian dari menjaga kepercayaan yang sudah diberikan pengguna.

Sumber: citrix.com