Citrix Mendesak Patch Darurat Dua Kerentanan NetScaler: Auth Bypass dan DoS Kritis CVE-2026-19490 serta CVE-2026-19489

Peringatan Mendesak dari Citrix

Pada 20 Agustus 2026, Citrix menerbitkan buletin keamanan yang menyerukan penambalan segera terhadap dua kerentanan pada lini produk NetScaler ADC dan NetScaler Gateway. Bukan sekadar advisory rutin, Citrix menggunakan bahasa yang tidak biasa: “segera” dan “kuat direkomendasikan” muncul berulang kali dalam peringatan tersebut, menandakan bahwa kedua celah ini dianggap memiliki potensi dampak yang serius jika dieksploitasi.

Yang pertama, CVE-2026-19490, adalah kerentanan bypass autentikasi berseverity kritis. Yang kedua, CVE-2026-19489, adalah kelemahan overflow memori berseverity tinggi yang bisa dipakai untuk serangan denial-of-service. Keduanya menargetkan produk yang menjadi tulang punggung akses jarak jauh bagi ribuan organisasi di seluruh dunia.

CVE-2026-19490: Bypass Autentikasi Tanpa Kredensial

Celah yang lebih berbahaya dari keduanya adalah CVE-2026-19490. Kerentanan ini memungkinkan penyerang tanpa autentikasi untuk melewati mekanisme verifikasi identitas pada appliance NetScaler yang dikonfigurasi sebagai AAA virtual server atau Gateway, termasuk SSL VPN, ICA Proxy, CVPN, dan RDP Proxy. Dampaknya bergantung pada versi firmware yang dijalankan dan apakah konfigurasi SAML Action telah diaktifkan.

Secara praktis, ini berarti seseorang yang bahkan tidak memiliki akun bisa mendapatkan akses ke jaringan internal organisasi melalui jalur VPN yang seharusnya terlindungi. Untuk organisasi yang mengandalkan NetScaler Gateway sebagai pintu masuk utama bagi karyawan remote, skenario ini cukup untuk menimbulkan kepanikan.

Administrator bisa memeriksa apakah appliance mereka rentan dengan meninjau konfigurasi NetScaler untuk keberadaan string add authentication samlAction serta add authentication vserver atau add vpn vserver. Kehadiran ketiga string tersebut dalam satu konfigurasi menandakan paparan terhadap CVE-2026-19490.

CVE-2026-19489: Overflow Memori via SIP ALG

Kerentanan kedua, CVE-2026-19489, meskipun severity-nya lebih rendah dari pendampingnya, tetap tidak bisa dianggap enteng. Kelemahan overflow memori ini bisa dieksploitasi oleh penyerang remote tanpa autentikasi untuk melakukan serangan denial-of-service, yang pada gilirannya membuat layanan VPN dan akses remote menjadi tidak tersedia.

Syarat eksploitasinya sedikit lebih spesifik: SIP ALG (Session Initiation Protocol Application Layer Gateway) harus diaktifkan pada konfigurasi large-scale NAT group. Administrator bisa memeriksa keberadaan string add lsn group.*sipalg.* dalam konfigurasi untuk menentukan apakah appliance mereka memenuhi prasyarat serangan.

Meskipun denial-of-service tidak memberikan akses data kepada penyerang, dampak operasionalnya bisa signifikan. Organisasi yang layanan remote-nya lumpuh karena serangan ini akan menghadapi gangguan produktivitas yang meluas, terutama bagi tim yang bekerja dari lokasi berbeda.

Versi yang Terdampak dan Versi Perbaikan

Citrix merilis build perbaikan untuk berbagai lini produk yang terdampak. Berikut daftar versi yang harus dituju administrator:

NetScaler ADC dan NetScaler Gateway versi 14.1 harus diperbarui ke build 14.1-73.32 atau yang lebih baru. Versi 13.1 harus diperbarui ke build 13.1-63.21 atau yang lebih baru. Untuk lini FIPS, NetScaler ADC FIPS 14.1 harus mencapai build 14.1-73.32 FIPS atau yang lebih baru, sementara NetScaler ADC FIPS dan NDcPP 13.1 harus diperbarui ke build 13.1-37.277 atau yang lebih baru.

Deployments SecurAccess ZTNA Hybrid (sebelumnya Secure Private Access Hybrid) yang menggunakan instansi NetScaler customer-managed juga termasuk dalam cakupan advisory ini dan harus segera diperbarui.

Konteks: Citrix Sebagai Target Berulang

Peringatan ini bukan terjadi dalam ruang kosong. Dalam lima tahun terakhir, CISA telah menandai 22 kerentanan Citrix sebagai telah dieksploitasi di dunia nyata, dan enam di antaranya digunakan dalam serangan ransomware. Baru pada Maret 2026 lalu, Citrix mendesak penambalan CVE-2026-3055 dan CVE-2026-4368, dan hanya berselang beberapa hari sebelum penyerang mulai mengeksploitasi kedua celah tersebut di lapangan. CVE-2026-3055 kemudian dimasukkan ke katalog Known Exploited Vulnerabilities (KEV) CISA pada 30 Maret, dengan tenggat tiga hari bagi lembaga federal untuk melakukan penambalan.

Pola ini menciptakan kekhawatiran yang beralasan: meskipun CVE-2026-19490 dan CVE-2026-19489 belum dilaporkan dieksploitasi secara aktif pada saat advisory dirilis, sejarah menunjukkan bahwa jendela antara publikasi advisory Citrix dan eksploitasi di lapangan bisa sangat sempit.

Skala Paparan

Menurut data dari ShadowServer Foundation, lebih dari 22.000 instansi NetScaler ADC dan hampir 1.800 instansi NetScaler Gateway saat ini terekspos di internet. Angka ini belum memperhitungkan honeypot atau berapa banyak di antaranya yang sebenarnya rentan terhadap CVE-2026-19490 dan CVE-2026-19489, tetapi skala paparannya sudah cukup untuk membayangkan betapa luasnya potensi dampak jika kedua celah ini mulai dieksploitasi secara massal.

Bagi organisasi di Indonesia yang mengandalkan NetScaler untuk mengelola akses VPN karyawan atau layanan remote desktop, angka-angka ini seharusnya menjadi pemicu tindakan segera. Banyak perusahaan besar dan instansi pemerintah di Tanah Air menggunakan produk Citrix sebagai infrastruktur akses jarak jauh utama mereka.

Langkah Mitigasi yang Harus Dilakukan

Prioritas pertama adalah menentukan apakah instansi NetScaler yang dijalankan saat ini termasuk dalam versi yang terdampak. Jika ya, penambalan ke build yang direkomendasikan Citrix harus dilakukan sesegera mungkin, idealnya dalam hitungan jam, bukan hari. Citrix sendiri merekomendasikan agar pelanggan meninjau buletin keamanan resmi, mengevaluasi apakah deploy mereka terpengaruh, dan melakukan upgrade ke build yang direkomendasikan “sesegera mungkin.”

Sebelum patch diterapkan, pertimbangkan untuk membatasi atau mematikan SIP ALG pada konfigurasi NAT sebagai langkah mitigasi sementara terhadap CVE-2026-19489. Untuk CVE-2026-19490, isolasi sementara appliance dari akses publik bisa menjadi opsi jika penambalan tidak bisa dilakukan langsung.

Setelah patch diterapkan, lakukan audit konfigurasi untuk memastikan tidak ada indikator kompromi yang tertinggal. Periksa log akses untuk aktivitas mencurigakan, terutama koneksi yang berhasil melewati autentikasi tanpa kredensial yang valid. Pastikan juga bahwa MFA aktif di semua titik akses VPN dan portal administratif, karena kerentanan autentikasi bypass seperti CVE-2026-19490 menjadi jauh lebih berbahaya ketika tidak ada lapisan verifikasi tambahan.

Bagi organisasi yang menggunakan NetScaler dalam arsitektura zero-trust atau sebagai gerbang utama ke infrastruktur kritis, penambalan bukan lagi sekadar rekomendasi keamanan. Ini adalah langkah yang menentukan apakah perimeter jaringan mereka akan tetap utuh atau runtuh dalam beberapa hari ke depan.