Citrix Bleed 2 dan Gelombang Zero-Day NetScaler 2026

Citrix Bleed 2 (CVE-2025-5777) membuka jalan bagi penyerang untuk membaca token sesi dari memori NetScaler, dan sejak itu perangkat NetScaler terus menjadi sasaran zero-day sepanjang 2026. Per 29 Oktober 2026, beberapa CVE NetScaler berstatus dieksploitasi aktif. Pelajaran utamanya: setelah patch, sesi yang sudah dicuri harus dimatikan, bukan hanya perangkatnya diperbarui.

Ringkasan Citrix Bleed 2 dan gelombang NetScaler 2026

• Citrix Bleed 2, CVE-2025-5777: pembacaan memori di luar batas pada NetScaler ADC dan Gateway yang dikonfigurasi sebagai Gateway (VPN, ICA Proxy, CVPN, RDP Proxy) atau AAA virtual server. Skor CVSS v4.0 9.3 dari Citrix (NVD menilai 7.5 dengan CVSS 3.1). Patch dirilis 17 Juni 2025; masuk KEV pada 10 Juli 2025 dengan tenggat 11 Juli, dan katalog KEV mencatat penggunaannya dalam kampanye ransomware sebagai "Known".
• CVE-2026-19490: authentication bypass (CWE-288), CVSS v4.0 9.3 pada catatan CVE. Bulletin CTX696939 terbit 19 Agustus 2026; masuk KEV 9 September 2026.
• CVE-2026-88771 dan CVE-2026-88772: zero-day kritis yang masing-masing dapat memicu eksekusi kode jarak jauh, CVSS v4.0 9.5 pada catatan CVE, masuk KEV 27 September 2026. Build perbaikan: 14.1-73.37, 13.1-64.23, dan 13.1-37.279 untuk FIPS dan NDcPP.
• CVE-2026-88779: gangguan layanan pada konfigurasi SAML yang dapat memaksa reboot; masuk KEV 4 Oktober 2026, diperbaiki di 14.1-73.41 dan 13.1-64.28. CVE-2026-107406 (memory overflow pada konfigurasi SAML) ditambahkan pada peringatan CISA yang direvisi 9 Oktober 2026 dan per 29 Oktober 2026 belum tercantum di KEV.

Pelajari cara membaca skor pada ringkasan di atas lewat artikel Level Kerentanan dan Skor CVSS.

Apa itu Citrix Bleed 2 dan mengapa berbahaya

Citrix Bleed 2 dinamai mirip Citrix Bleed (CVE-2023-4966) dari 2023 karena polanya serupa, meski Citrix menyatakan keduanya tidak berkaitan. Permintaan login yang cacat membuat perangkat mengembalikan potongan memorinya, dan potongan itu dapat berisi token sesi. Dengan token yang valid, penyerang dapat membajak sesi yang sudah melewati autentikasi, termasuk MFA, sehingga kata sandi dan kode sekali pakai korban menjadi tidak relevan. Nama Citrix Bleed 2 sendiri diberikan oleh peneliti Kevin Beaumont.

Soal bukti eksploitasi, sumber sempat berbeda pendapat. Pada akhir Juni 2025 ReliaQuest memperingatkan bahwa celah ini sudah dieksploitasi, dan data honeypot GreyNoise menunjukkan percobaan sejak 23 Juni 2025, sedangkan Citrix pada 26 Juni menyatakan belum ada bukti eksploitasi. CISA kemudian memasukkannya ke KEV dengan tenggat satu hari bagi lembaga federal AS, dan pada awal Juli 2025 sudah ada setidaknya dua exploit publik yang bekerja menurut laporan The Register.

Gelombang zero-day NetScaler 2026

Pada 2026 pola yang sama berlanjut. Bulan Agustus, CVE-2026-19490 membuka jalan melewati autentikasi pada perangkat yang memakai aksi SAML atau virtual server autentikasi dan VPN. Citrix mendaftarkan versi perbaikan 14.1-73.32, 13.1-63.21, dan 13.1-37.277 untuk varian FIPS dan NDcPP. Pada akhir September, CISA memperingatkan sepuluh CVE NetScaler yang diumumkan Citrix sekaligus, dua di antaranya zero-day yang dieksploitasi secara global.

Peringatan CISA tidak mencantumkan skor atau versi; rincian ada di bulletin Citrix CTX697096 (CVE-2026-88771 sampai 88778), CTX697174 (CVE-2026-88779), dan CTX697191 (CVE-2026-107406). Karena perangkat ini menghadap internet dan memegang kredensial serta sesi pengguna, ia menjadi target bernilai tinggi. Pola lebih luas tentang mengapa VPN dan gateway sering diserang dibahas di Keamanan Perangkat Edge.

Patch lalu matikan sesi: urutan yang benar

Untuk Citrix Bleed 2, tanya jawab resmi Citrix menyatakan administrator perlu menjalankan perintah penghentian sesi setelah upgrade ke firmware yang berisi perbaikan, dan tidak menyarankan mengekspor daftar sesi aktif terlebih dulu. Alasannya sederhana: token yang sudah bocor tetap valid selama sesinya hidup, sehingga memperbarui perangkat tidak mencabut akses penyerang yang sudah memegangnya. Perintah persisnya ada di bulletin Citrix. Untuk CVE-2025-6543, celah memory overflow NetScaler lain yang dieksploitasi sebagai zero-day pada pertengahan 2025 (masuk KEV 30 Juni 2025), Citrix menyatakan penghentian sesi tidak diperlukan dan upgrade sudah cukup.

Untuk zero-day 2026, CISA menyarankan urutan yang berbeda karena tujuannya forensik:

1. Periksa indikator kompromi sebelum patch. Citrix menerbitkan indikator melalui NetScaler Console.
2. Amankan bukti dulu. Pembaruan dapat mengurangi visibilitas forensik, jadi simpan data yang relevan lebih dulu bila Anda curiga ada kompromi.
3. Kirim log ke SIEM. Log lokal cepat berputar dan menimpa artefak penting.
4. Jika terkompromi, pulihkan dari backup bersih yang dibuat sebelum kompromi, lalu rotasi semua rahasia yang dipulihkan: kata sandi akun lokal, key-encryption key, dan sertifikat SSL. Ikuti panduan Citrix CTX694799.
5. Gunakan aturan SIGMA CISA untuk mendeteksi aktivitas mencurigakan.

Setelah itu, hentikan seluruh sesi aktif, paksa pengguna login ulang, dan terapkan autentikasi dua faktor yang tidak bergantung pada sesi lama. Batasi pula akses Gateway dan AAA berdasarkan alamat IP bila memungkinkan.

Cara memeriksa apakah Anda terdampak

Mulailah dengan inventaris: daftar semua NetScaler ADC dan Gateway, versi build, dan peran yang aktif (Gateway, AAA, SAML). Bandingkan dengan bulletin Citrix yang relevan, lalu prioritaskan perangkat yang menghadap internet. Untuk CVE-2026-19490, Citrix menyebut perangkat berisiko jika menjalankan versi terdampak dan memiliki aksi SAML atau virtual server autentikasi/VPN. Bila perangkat sempat terekspos sebelum patch, perlakukan sebagai potensi terkompromi dan cari penggunaan ulang sesi dari alamat IP yang tidak lazim.

Linimasa singkat

• 17 Juni 2025: patch CVE-2025-5777 dirilis.
• 10 Juli 2025: CVE-2025-5777 masuk KEV dengan tenggat 24 jam.
• 19 Agustus 2026: Citrix merilis CVE-2026-19490; KEV pada 9 September 2026.
• 27 September 2026: CVE-2026-88771 dan 88772 masuk KEV; CISA menerbitkan peringatan.
• 4 dan 9 Oktober 2026: CVE-2026-88779 masuk KEV; peringatan CISA direvisi dan menambah CVE-2026-107406.

Baca juga: Zero-Day Ivanti Connect Secure dan EPMM 2026.

Pertanyaan yang Sering Diajukan

Apakah patch NetScaler sudah cukup?

Tidak untuk Citrix Bleed 2. Token sesi yang dicuri sebelum patch tetap bekerja, jadi sesi harus dihentikan setelah upgrade. Untuk kasus 2026, periksa indikator kompromi juga sebelum dan sesudah patch.

Apakah MFA melindungi dari Citrix Bleed 2?

Tidak sepenuhnya. Token sesi dicuri setelah MFA selesai, sehingga membajak sesi melewati MFA. Karena itu penghentian sesi dan rotasi kredensial menjadi langkah wajib.

Mengapa CISA meminta bukti disimpan sebelum patch?

Karena pembaruan dan reboot dapat menghapus jejak yang dibutuhkan investigasi. Menyimpan bukti lebih dulu membantu menentukan apakah penyerang sudah masuk. Konsep prioritas ini dijelaskan di CISA KEV.

Kesimpulan

Dari Citrix Bleed 2 hingga zero-day NetScaler 2026, benang merahnya sama: perangkat gateway adalah pintu depan yang terus diserang, dan patch hanya satu langkah dari rangkaian respons yang mencakup forensik, penghentian sesi, dan rotasi rahasia. Jika organisasi Anda ingin menguji ketahanan perimeter dan kesiapan respons insiden, tim Linuxhackingid menyediakan layanan asesmen dan pentest. Rujukan: peringatan CISA tentang zero-day NetScaler dan laporan SecurityWeek.