Citrix NetScaler Diserang: CVE-2026-88771, Celah SAML, dan PHP2Shell dalam Sebulan

NetScaler ADC dan NetScaler Gateway, appliance Citrix yang dipakai banyak organisasi sebagai pintu masuk VPN, virtual desktop, dan aplikasi web internal, sedang melewati bulan yang berat. Sejak 27 September 2026, Citrix sudah menerbitkan empat security bulletin. Dua celah di antaranya dieksploitasi sebagai zero-day selama berminggu-minggu sebelum ada pihak lain yang tahu, dan satu celah lagi dipakai untuk membuat appliance dengan konfigurasi SAML single sign-on crash. Pada 27 Oktober, Citrix merilis build yang sekaligus menambal celah PHP2Shell di antarmuka manajemen. Bagi pengguna NetScaler, pertanyaannya kini bukan sekadar build apa yang sedang dipakai, tetapi juga apakah ada yang sudah masuk sebelum upgrade dilakukan.

Empat Bulletin dalam Sebulan

Dua Zero-Day

CVE-2026-88771 adalah yang paling berbahaya. Citrix menggolongkannya sebagai validasi input yang kurang ketat, yang memungkinkan penyerang tanpa login menjalankan perintah di appliance, dan celah ini berlaku pada konfigurasi default. CVE-2026-88772 adalah memory overflow pada penanganan DTLS yang bisa berujung eksekusi kode atau denial of service. Celah ini membutuhkan DTLS dalam keadaan aktif, dan DTLS memang aktif secara default di virtual server VPN. Keduanya mendapat skor CVSS 4.0 sebesar 9.5, dan masing-masing bisa dieksploitasi secara terpisah.

Serangannya sudah dimulai jauh sebelum bulletin terbit. Google Threat Intelligence dan Mandiant meyakini CVE-2026-88772 sudah dieksploitasi sejak awal September, sedangkan Unit 42 dari Palo Alto Networks menemukan aktivitas pengintaian versi sejak akhir Agustus. Pada hari pengumuman, Unit 42 menghitung lebih dari 50.000 instance NetScaler yang terekspos ke internet dan berpotensi rentan. CISA memasukkan kedua CVE ke katalog celah yang aktif dieksploitasi pada hari yang sama.

Cara CVE-2026-88771 dieksploitasi menunjukkan seberapa matang serangannya. Menurut Unit 42, penyerang lebih dulu menyisipkan payload ber-encoding Base64 di header User-Agent agar tercatat di log akses VPN, lalu mengirim request login yang menulis teks tambahan ke log sistem. Sebuah script Perl di appliance yang memproses entri log error kemudian mengeksekusi perintah yang sudah ditanam itu. Hasilnya adalah web shell PHP berpassword yang disembunyikan di halaman login Gateway, dengan konfigurasi web server diubah agar akses ke shell itu terlihat seperti request stylesheet biasa. Lewat CVE-2026-88772, penyerang menanam web shell yang disamarkan sebagai paket klien VPN untuk Linux, beserta malware tunneling yang oleh Mandiant diberi nama WHIPSHOT dan SLAPSHOT.

Enam Celah Lain di Bulletin Pertama

Citrix belum melaporkan eksploitasi untuk keenam celah ini, tetapi semuanya cukup serius untuk ditambal sekaligus, dan salah satunya butuh langkah tambahan setelah upgrade.

CVE-2026-88778 adalah pengecualiannya. Upgrade memang memasang perbaikannya, tetapi fitur Enhanced ISN Generation harus diaktifkan setelahnya agar perbaikan itu benar-benar berlaku.

SAML Single Sign-On Ikut Jadi Sasaran

Seminggu setelah bulletin pertama, Citrix mengumumkan CVE-2026-88779, memory overflow dengan skor 8.7 yang berdampak pada appliance yang dikonfigurasi sebagai SAML service provider atau identity provider. Penyerang memakainya untuk membuat gateway crash, dan CISA memasukkannya ke daftar celah yang dieksploitasi pada 4 Oktober. CISA juga menyoroti kombinasi yang berbahaya: pada appliance yang sudah ditanami kode lewat CVE-2026-88771, reboot paksa bisa membuat kode tersebut ikut berjalan.

Lalu pada 8 Oktober muncul CVE-2026-107406, memory overflow SAML berikutnya, kali ini dengan skor 9.5 karena bisa berujung remote code execution. Tidak ada workaround untuk celah ini. Build yang sudah ditambal untuk dua bulletin sebelumnya masih rentan jika appliance berperan sebagai SAML identity provider, sehingga organisasi yang sudah patch di awal Oktober harus patch lagi.

PHP2Shell Sampai ke Antarmuka Manajemen

GUI manajemen NetScaler dan API-nya dibangun di atas PHP, jadi celah PHP2Shell yang diumumkan 21 Oktober, yaitu CVE-2026-109618 dan CVE-2026-109619, juga berlaku untuk appliance ini. Citrix menerbitkan bulletin CTX697263 pada 22 Oktober dan merilis build perbaikannya pada 27 Oktober. Bagian yang terekspos adalah antarmuka manajemen, yaitu NSIP, SNIP yang mengaktifkan akses manajemen, dan cluster IP. Halaman login Gateway dan AAA tidak terdampak, begitu pula NetScaler Console dan SVM. Sebelum upgrade, batasi akses ke GUI dan API hanya untuk beberapa host administrator dengan ACL, seperti dijelaskan Citrix di CTX228148. Antarmuka manajemen yang bisa diakses dari internet sebenarnya sudah jadi masalah, bahkan tanpa CVE ini.

Build yang Perlu Dipasang

Setiap bulletin menaikkan batas minimum build. Build yang dirilis 27 Oktober adalah build pertama yang menutup keempat bulletin sekaligus, jadi hampir tidak ada alasan untuk memilih build yang lebih lama.

Cek build yang benar-benar berjalan di appliance dengan perintah show version di CLI. File ns.conf yang tersimpan bisa saja masih menampilkan build lama sampai konfigurasinya disimpan ulang. Deployment Secure Private Access hybrid yang memakai instance NetScaler milik pelanggan juga terdampak. Layanan cloud yang dikelola Citrix diperbarui oleh Citrix sendiri.

Patch Tidak Mengusir Penyerang yang Sudah Masuk

Citrix menyampaikannya dengan gamblang: update tidak membersihkan appliance yang sudah disusupi. Web shell, konfigurasi yang diubah, dan tool tunneling tetap bertahan setelah upgrade. Karena eksploitasi sudah dimulai berminggu-minggu sebelum bulletin terbit, setiap NetScaler yang terhubung ke internet selama September sebaiknya dianggap berpotensi disusupi sampai terbukti sebaliknya.

1. 1Amankan bukti sebelum mengubah apa pun. CISA mengingatkan bahwa update bisa mengurangi jejak forensik. Kumpulkan log dari remote syslog dan NetScaler Console, technical support bundle, dan untuk appliance virtual, snapshot VM-nya. NCSC Belanda menyarankan menyimpan log dan memori setidaknya untuk satu bulan ke belakang.
2. 2Jalankan pemindaian indicator of compromise di NetScaler Console pada menu Security Advisory, memakai indikator versi 3 yang dirilis 29 September. Fitur ini membutuhkan telemetri produk dan tidak mendukung NetScaler BLX.
3. 3Cari artefak yang sudah diketahui: file /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver, file .deb yang tidak dikenal di /vpn/scripts/linux/, file seperti /tmp/.uxdport, /tmp/.uxdlock, atau /tmp/.nsagent, serta perubahan pada httpd.conf.
4. 4Telusuri log yang sudah diteruskan ke SIEM untuk string Base64 di field User-Agent dan string pitboss yang dikombinasikan dengan IFS atau b64decode. Para peneliti mengaitkan pola ini dengan teknik peracunan log pada CVE-2026-88771.
5. 5Upgrade ke build di tabel atas, aktifkan Enhanced ISN Generation, lalu terus pantau sesi administrator dan koneksi keluar yang tidak wajar.

Hasil scan yang bersih bukan jaminan. Citrix sendiri mengingatkan bahwa indikatornya bisa saja melewatkan kasus yang nyata, web shell yang ditanam berbeda di setiap perangkat, dan penyerang menghapus jejaknya. Log lokal NetScaler juga cepat terotasi, karena itu meneruskannya ke SIEM sangat penting.

Jika Ditemukan Tanda Penyusupan

Isolasi appliance tersebut dan jangan mengandalkan pembersihan di tempat. Citrix menyarankan memasang instance baru dengan build yang sudah diperbaiki, sedangkan CISA menyarankan pemulihan dari backup yang dibuat sebelum penyusupan terjadi. Apa pun caranya, ganti semua rahasia yang tersimpan di appliance: password akun lokal, key encryption key, serta private key dan sertifikat SSL yang terpasang di sana. Setelah itu, perluas pemeriksaan ke luar appliance. NetScaler berada di tepi jaringan dan menangani proses login pengguna, jadi periksa juga sistem yang terhubung dengannya dan kredensial yang pernah melewatinya, termasuk service account LDAP dan Active Directory.

Pelajaran dari Bulan Ini

Appliance di tepi jaringan seperti VPN gateway dan load balancer menjadi sasaran empuk karena terhubung langsung ke internet, menjalankan kode dengan hak akses tinggi, dan sering kali lebih jarang di-patch dibanding server. Organisasi yang paling siap menghadapi bulan ini adalah yang log NetScaler-nya sudah masuk SIEM sebelum serangan terjadi, antarmuka manajemennya tidak bisa diakses dari internet, dan punya prosedur teruji untuk mengganti appliance dengan cepat alih-alih memperbaikinya. Jika Anda butuh bantuan menilai keamanan deployment NetScaler atau sistem di belakangnya, tim managed service kami siap membantu.