CVE-2026-19490: Citrix NetScaler Hadapi Kerentanan Bypass Autentikasi yang Mengancam Puluhan Ribu Perangkat

Kerentanan Autentikasi pada Perangkat Akses Jarak Jauh Kritis

Pada 20 Agustus 2026, Citrix merilis advisory keamanan mendesak yang menyerukan pembaruan segera untuk dua kerentanan pada produk NetScaler ADC dan NetScaler Gateway. Yang paling mengkhawatirkan adalah CVE-2026-19490, kerentanan bypass autentikasi berskor tinggi yang memungkinkan penyerang jarak jauh tanpa hak istimewa untuk melewati mekanisme autentikasi pada appliance yang dikonfigurasi sebagai AAA virtual server atau Gateway.

Kerentanan ini memiliki implikasi yang serius karena NetScaler Gateway merupakan salah satu solusi akses jarak jauh yang paling banyak digunakan di dunia korporat. Ribuan organisasi mengandalkan produk ini untuk memberikan akses VPN, ICA Proxy, CVPN, dan RDP Proxy kepada karyawan dan mitra bisnis. Ketika mekanisme autentikasi pada titik masuk ini dapat dibobol, seluruh model keamanan jaringan internal menjadi rentan.

Detail Teknis dan Prasyarat Eksploitasi

CVE-2026-19490 memengaruhi NetScaler ADC dan NetScaler Gateway dalam beberapa versi firmware. Kerentanan ini aktif ketika appliance dikonfigurasi sebagai AAA virtual server atau Gateway, dengan kondisi tambahan tergantung pada versi firmware dan apakah SAML Action dikonfigurasi.

Admin dapat memeriksa apakah appliance mereka rentan terhadap CVE-2026-19490 dengan menginspeksi konfigurasi NetScaler untuk keberadaan string konfigurasi SAML Action (add authentication samlAction .) dan Auth atau VPN vserver (‘add authentication vserver .’ dan ‘add vpn vserver .*’). Kombinasi konfigurasi ini menunjukkan bahwa appliance berada dalam kondisi yang dapat dieksploitasi.

Penyerang tidak memerlukan kredensial atau hak istimewa apa pun untuk mengeksploitasi kerentanan ini. Cukup dengan mengirim request yang dikonfigurasi secara spesifik ke NetScaler, autentikasi dapat dilewati dan akses ke sistem internal yang dilindungi menjadi terbuka. Dalam konteks operasional, ini berarti siapa pun yang bisa menjangkau NetScaler Gateway dari jaringan mereka, termasuk melalui internet, berpotensi mendapatkan akses tanpa otorisasi.

Kerentanan kedua, CVE-2026-19489, meskipun berskoro lebih rendah, tidak kalah mengkhawatirkan dalam konteks tertentu. Kerentanan memory overflow ini memungkinkan serangan denial-of-service (DoS) dari penyerang tanpa autentikasi ketika SIP ALG (Session Initiation Protocol Application Layer Gateway) diaktifkan dalam konfigurasi Large Scale NAT (LSN) group. Kondisi ini dapat dideteksi dengan mencari string “add lsn group.sipalg.” dalam konfigurasi.

Serangan DoS pada NetScaler ADC atau Gateway dapat membuat seluruh infrastruktur akses jarak jauh dan load balancing lumpuh, menghentikan operasi bisnis yang bergantung pada konektivitas remote.

Riwayat Eksploitasi Citrix yang Menguatkan Urgensi

Yang membuat advisory ini semakin mendesak adalah riwayat panjang eksploitasi produk Citrix. Dalam lima tahun terakhir, CISA telah menandai 22 kerentanan Citrix sebagai telah dieksploitasi secara aktif, enam di antaranya juga digunakan dalam kampanye ransomware.

Insiden yang paling relevan sebagai perbandingan langsung adalah CVE-2026-3055. Citrix menyarankan penambalan kerentanan tersebut pada 23 Maret 2026, hanya beberapa hari sebelum penyerang mulai mengeksploitasi celah tersebut secara aktif di lapangan. CISA kemudian menambahkan CVE-2026-3055 ke katalog KEV pada 30 Maret dan memerintahkan lembaga federal untuk mengamankan appliance dalam tiga hari.

Pola ini, di mana advisory diikuti oleh eksploitasi aktif dalam hitungan hari, menjadi preseden yang membuat organisasi tidak bisa lagi menunda penambalan. Citrix sendiri dalam advisory-nya menekankan: “Kami sangat menyarankan pelanggan untuk meninjau bulletin keamanan resmi NetScaler ADC dan Gateway, menilai apakah deployment mereka terdampak, dan melakukan upgrade pada appliance yang terpengaruh ke build yang direkomendasikan secepat mungkin.”

Cakupan Dampak dan Jumlah Perangkat yang Terdampak

ShadowServer Foundation saat ini memantau lebih dari 22.000 instance NetScaler ADC dan hampir 1.800 instance NetScaler Gateway yang terekspos secara online. Meskipun angka ini tidak mengungkapkan berapa banyak honeypot atau berapa yang benar-benar rentan terhadap CVE-2026-19490 dan CVE-2026-19489, skala eksposur tetap menjadi perhatian serius.

Produk yang terdampak meliputi beberapa lini firmware: NetScaler ADC dan NetScaler Gateway versi 14.1 sebelum 73.32, versi 13.1 sebelum 63.21, serta versi FIPS dan NDcPP. Termasuk juga dalam cakupan adalah deployment SecurAccess ZTNA Hybrid (sebelumnya bernama Secure Private Access Hybrid) yang menggunakan instance NetScaler yang dikelola sendiri.

Penting untuk dipahami bahwa dampak CVE-2026-19490 tidak terbatas pada pencurian data atau akses tidak sah semata. Dalam许多 organisasi, NetScaler Gateway berada di perimeter jaringan sebagai titik masuk utama bagi remote worker. Jika autentikasi pada titik ini dapat dilewati, penyerang memiliki jalur lurus ke jaringan internal tanpa perlu melewati kontrol keamanan perimeter lainnya.

Versi Perbaikan dan Strategi Penambalan

Citrix telah merilis versi perbaikan yang mencakup seluruh lini firmware yang terdampak:

Untuk NetScaler ADC dan NetScaler Gateway versi 14.1, upgrade ke build 14.1-73.32 atau yang lebih baru. Untuk versi 13.1, upgrade ke build 13.1-63.21 atau yang lebih baru. Versi FIPS juga tersedia: 14.1-73.32 FIPS atau 13.1-37.277 FIPS atau lebih baru.

Mengingat riwayat eksploitasi Citrix yang cepat, organisasi sebaiknya tidak menunda penambalan lebih dari yang mutlak diperlukan. Jika pembaruan langsung tidak memungkinkan karena keterbatasan jendela pemeliharaan, pertimbangan mitigasi sementara termasuk membatasi akses ke antarmuka manajemen NetScaler hanya dari jaringan internal yang terkontrol dan mematikan SIP ALG jika tidak diperlukan untuk mencegah eksploitasi CVE-2026-19489.

Pelajaran dari Pola Berulang

Insiden ini memperkuat tren yang sudah berlangsung selama bertahun-tahun: produk infrastruktur jaringan seperti VPN gateway dan load balancer menjadi target favorit aktor ancaman karena posisinya di perimeter. Satu kerentanan pada titik ini berpotensi membuka akses ke seluruh jaringan internal, menjadikan ROI serangan jauh lebih tinggi dibandingkan menargetkan sistem di lapisan aplikasi.

Bagi administrator yang mengelola infrastruktur NetScaler, langkah-langkah berikut layak diprioritaskan: inventarisasi seluruh instance NetScaler dalam lingkungan, verifikasi versi firmware dan konfigurasi terhadap advisory, penerapan patch secepat mungkin, serta pemantauan log akses untuk aktivitas yang mencurigakan. Mengingat bahwa CVE-2026-19490 tidak memerlukan autentikasi untuk dieksploitasi, deteksi serangan harus berfokus pada pola request yang tidak wajar menuju NetScaler, bukan hanya pada log autentikasi yang gagal.