KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan Citrix NetScaler ADC dan NetScaler Gateway untuk segera memasang patch atas tiga kerentanan kritis: CVE-2026-19490 (skor CVSS v4.0 9,3), CVE-2026-88771 (9,5), dan CVE-2026-88772 (9,5). Ketiganya tercatat dalam katalog Known Exploited Vulnerabilities (KEV) CISA: CVE-2026-19490 sejak 9 September 2026, CVE-2026-88771 dan CVE-2026-88772 sejak 27 September 2026. Artinya eksploitasinya sudah teramati di dunia nyata.

Artikel ini melengkapi peringatan sebelumnya mengenai NetScaler (CVE-2026-8452). Perangkat NetScaler lazimnya berada di tepi jaringan dan terhubung langsung ke internet, sehingga rentetan kerentanan baru pada produk yang sama menuntut pemutakhiran berulang dan pemeriksaan ulang versi yang terpasang.

Ikhtisar

Citrix menerbitkan dua buletin keamanan. Buletin CTX696939 memuat CVE-2026-19490, yaitu authentication bypass using an alternate path (CWE-288): penyerang tanpa kredensial dapat melewati proses autentikasi. Buletin CTX697096 memuat CVE-2026-88771 (improper input validation, CWE-20) yang memungkinkan penyerang tanpa autentikasi menjalankan perintah sembarang, dan CVE-2026-88772 (memory buffer overflow, CWE-119) yang dapat berujung pada remote code execution atau denial of service.

Syarat konfigurasi berbeda untuk tiap kerentanan:

• CVE-2026-19490: perangkat dikonfigurasi sebagai Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) atau AAA virtual server. Pada versi tertentu kerentanan hanya berlaku bila ada konfigurasi SAML action (rincian per versi ada di buletin vendor).
• CVE-2026-88771: berlaku pada semua deployment NetScaler ADC dan Gateway, termasuk konfigurasi bawaan tanpa fitur tambahan.
• CVE-2026-88772: berlaku bila DTLS aktif. DTLS aktif secara bawaan pada VPN virtual server.

Dampak

• Akses ke perangkat tanpa kredensial yang sah, sehingga akses jarak jauh pegawai dan aplikasi di belakang perangkat berisiko disusupi.
• Eksekusi perintah atau kode sembarang dari jaringan oleh penyerang tanpa autentikasi (CVE-2026-88771, CVE-2026-88772).
• Perangkat tidak stabil atau berhenti melayani (denial of service).
• Karena perangkat berada di tepi jaringan, penyusupan dapat dijadikan titik awal bergerak ke sistem lain di jaringan kantor.

Sistem yang Terdampak

Buletin CTX696939 menyebut deployment Secure Private Access Hybrid yang memakai instance NetScaler ikut terdampak. Buletin hanya berlaku untuk NetScaler yang dikelola sendiri oleh pelanggan; layanan yang dikelola Citrix diperbarui oleh vendor.

Rincian CVE

Detail Teknis

Vektor CVSS v4.0 yang dicatat NVD: CVE-2026-19490 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L; CVE-2026-88771 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H; CVE-2026-88772 CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Seluruhnya dapat dicapai lewat jaringan tanpa kredensial dan tanpa interaksi pengguna.

Buletin CTX697096 juga memuat enam kerentanan lain (CVE-2026-88773 sampai CVE-2026-88778), termasuk HTTP request smuggling dan prediksi nomor urut TCP. Keenamnya tidak tercatat di KEV CISA per 28 September 2026, tetapi tertutup oleh versi perbaikan yang sama. Untuk CVE-2026-88778, Citrix meminta penerapan perubahan konfigurasi TCP sebagaimana tertulis di buletin.

Citrix menyebut eksploitasi CVE-2026-88771 dan CVE-2026-88772 teramati pada deployment yang belum dimitigasi. Versi NetScaler yang sudah melewati masa dukungan tidak menerima patch, sehingga perlu direncanakan penggantiannya.

Rekomendasi

1. Inventarisasi seluruh NetScaler ADC dan Gateway yang dikelola Perangkat Daerah, termasuk yang memakai edisi FIPS atau NDcPP, lalu catat nomor build masing-masing.
2. Perbarui ke versi perbaikan terbaru: 14.1-73.37, 13.1-64.23, 14.1-73.37 FIPS, atau 13.1.37.279 (FIPS dan NDcPP). Versi ini menutup ketiga CVE sekaligus.
3. Sebelum dan sesudah pemutakhiran, periksa tanda-tanda kompromi sesuai panduan Citrix (daftar indikator pada buletin dan konsol NetScaler). Bila ada indikasi, jangan hanya memasang patch: amankan bukti dan laporkan.
4. Setelah patch terpasang pada perangkat yang sempat terekspos, ganti kredensial yang pernah diproses perangkat, termasuk kunci dan sertifikat yang tersimpan di dalamnya, serta akhiri sesi pengguna yang aktif.
5. Batasi antarmuka pengelolaan NetScaler agar hanya dapat diakses dari jaringan administrasi, tidak dari internet.
6. Untuk perangkat yang tidak lagi didukung vendor, susun rencana penggantian.

Catatan Status Eksploitasi

Ketiga CVE ada di katalog KEV CISA: CVE-2026-19490 ditambahkan 9 September 2026, CVE-2026-88771 dan CVE-2026-88772 ditambahkan 27 September 2026. Eksploitasi ketiganya dinyatakan sudah terjadi di dunia nyata. Keenam CVE lain pada buletin CTX697096 belum tercatat di KEV CISA per 28 September 2026, namun tetap perlu ditangani lewat pemutakhiran yang sama.

Referensi

• Citrix CTX696939 – Security Bulletin untuk CVE-2026-19489 dan CVE-2026-19490
• Citrix CTX697096 – Security Bulletin untuk CVE-2026-88771 sampai CVE-2026-88778
• NVD – CVE-2026-19490
• NVD – CVE-2026-88771
• NVD – CVE-2026-88772
• CISA Known Exploited Vulnerabilities Catalog

Perangkat Daerah yang menemukan indikasi kompromi pada sistemnya dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi atau csirt@kutaitimurkab.go.id.