Celah Kritis Citrix NetScaler Kini Mulai Dieksploitasi dalam Serangan

Penyerang mulai menargetkan celah keamanan critical-severity pada Citrix NetScaler yang dapat digunakan untuk melewati mekanisme autentikasi secara remote. Aktivitas eksploitasi tersebut terdeteksi setelah proof-of-concept (PoC) untuk kerentanan dipublikasikan secara online.

Celah yang dilacak sebagai CVE-2026-19490 memungkinkan threat actor yang tidak memiliki privilege untuk melakukan authentication bypass dari jarak jauh pada konfigurasi NetScaler tertentu.

Perusahaan intelijen kerentanan Previdian mengatakan telah mendeteksi permintaan yang sesuai dengan pola PoC dari beberapa alamat IP yang berbeda.

CVE-2026-19490 Memungkinkan Authentication Bypass

CVE-2026-19490 dapat dieksploitasi ketika perangkat NetScaler dikonfigurasi sebagai AAA virtual server atau Gateway.

Dalam konfigurasi Gateway, cakupannya mencakup beberapa fungsi seperti:

• SSL VPN
• ICA Proxy
• CVPN
• RDP Proxy

Dampak dan kondisi eksploitasi bergantung pada versi firmware NetScaler yang digunakan serta apakah SAML Action telah dikonfigurasi.

Jika berhasil dieksploitasi, penyerang yang tidak memiliki privilege dapat melewati proses autentikasi dari jarak jauh. Kondisi ini membuat celah tersebut sangat berbahaya bagi organisasi yang mengekspos NetScaler ke internet sebagai gateway akses bagi pengguna maupun layanan internal.

Serangan Mulai Terdeteksi Setelah PoC Beredar

Citrix sebelumnya telah memperbaiki CVE-2026-19490 dan pada pertengahan Agustus memperingatkan administrator agar segera memeriksa sistem mereka serta memasang build yang telah diperbaiki.

Pada saat advisory keamanan diterbitkan 19 Agustus, Citrix belum menyatakan bahwa celah tersebut telah aktif dieksploitasi.

Situasi berubah setelah Previdian mendeteksi aktivitas yang menyerupai PoC.

Menurut pendiri Previdian sekaligus peneliti keamanan Ryan Dewhurst, pada 3 September salah satu sensor NetScaler milik perusahaan menerima permintaan yang cocok dengan PoC dari tiga sumber IP berbeda.

Ketiga alamat tersebut terdeteksi berasal dari Australia, Amerika Serikat, dan Jerman.

Dewhurst menegaskan bahwa aktivitas tersebut menjadi bukti adanya upaya eksploitasi, tetapi belum dapat memastikan bahwa penyerang berhasil mengambil alih sistem NetScaler yang sebenarnya.

Dengan kata lain, organisasi perlu membedakan antara indikasi eksploitasi dan kompromi yang telah berhasil. Namun, keberadaan aktivitas yang mengikuti PoC tetap menjadi alasan kuat untuk memprioritaskan patching.

Belgia Juga Memperingatkan Upaya Eksploitasi

Peringatan serupa datang dari Centre for Cybersecurity Belgium (CCB), badan koordinasi keamanan siber nasional Belgia.

CCB pada Jumat memperingatkan mengenai upaya eksploitasi terhadap CVE-2026-19490 dan meminta administrator untuk memprioritaskan pemasangan patch pada seluruh perangkat Citrix NetScaler yang rentan di jaringan organisasi mereka.

Peringatan tersebut menjadi semakin penting karena NetScaler umumnya berada pada posisi strategis di perimeter jaringan dan dapat berfungsi sebagai pintu masuk bagi akses remote.

Lebih dari 23.000 NetScaler Terekspos Internet

Data pemantauan dari Shadowserver menunjukkan terdapat lebih dari 22.000 NetScaler ADC dan hampir 1.700 NetScaler Gateway yang terekspos secara online.

Namun, angka tersebut tidak dapat langsung dianggap sebagai jumlah perangkat yang rentan terhadap CVE-2026-19490.

Belum diketahui berapa banyak sistem yang merupakan honeypot, menggunakan konfigurasi yang terdampak, atau sudah diperbarui dengan patch keamanan yang sesuai.

Meski demikian, banyaknya perangkat NetScaler yang dapat diakses dari internet membuat celah authentication bypass ini memiliki potensi dampak yang signifikan.

Riwayat Eksploitasi Citrix NetScaler

CVE-2026-19490 juga bukan satu-satunya kerentanan NetScaler yang menjadi target penyerang.

Pada Maret, Citrix meminta administrator segera memperbaiki dua kerentanan lain, yaitu CVE-2026-3055 dan CVE-2026-4368.

Hanya beberapa hari kemudian, threat actor mulai mengeksploitasi kedua celah tersebut dalam serangan.

CISA kemudian memasukkan CVE-2026-3055 ke dalam katalog Known Exploited Vulnerabilities (KEV) dan memerintahkan lembaga pemerintah federal Amerika Serikat untuk memperbarui perangkat Citrix yang terdampak dalam waktu tiga hari.

Sejak November 2021, CISA telah memasukkan 23 kerentanan Citrix ke dalam katalog kerentanan yang diketahui telah dieksploitasi di dunia nyata. Enam di antaranya juga diketahui telah dimanfaatkan oleh kelompok ransomware.

Administrator Diminta Segera Memasang Patch

Dengan adanya bukti upaya eksploitasi terhadap CVE-2026-19490, organisasi yang menggunakan Citrix NetScaler sebaiknya tidak menunda pembaruan.

Administrator perlu memeriksa apakah perangkat mereka menjalankan versi firmware dan konfigurasi yang terdampak, kemudian melakukan upgrade ke build yang direkomendasikan Citrix.

Selain melakukan patching, organisasi juga sebaiknya meninjau log akses NetScaler untuk mencari aktivitas mencurigakan, terutama permintaan yang muncul setelah PoC CVE-2026-19490 tersedia secara publik.

Karena perangkat NetScaler sering digunakan sebagai gateway untuk akses remote, kompromi terhadap perangkat tersebut dapat memberikan penyerang jalur strategis menuju lingkungan internal organisasi.

Sumber: Citrix