Citrix mendorong update darurat untuk sebuah celah keamanan di NetScaler ADC dan NetScaler Gateway yang dilacak sebagai CVE-2026-88779. Celah ini sudah dipakai di serangan zero-day dengan skor CVSS 8.7 dari 10. Yang bikin repot: appliance yang baru beberapa hari sebelumnya dipatch untuk menutup dua lubang lain juga kena imbas serangan yang sama.
Fakta paling tidak nyaman dari insiden ini adalah pelakunya menyasar deployment yang belum dimitigasi, dan sebagian korban sudah merasa aman karena mengira baru saja selesai update. Sejumlah admin melaporkan perangkatnya reboot sendiri berulang kali, walau versi firmware-nya sudah yang terbaru saat itu.
Masalahnya ada di konfigurasi SAML
CVE-2026-88779 adalah memory overflow yang baru bisa dipicu kalau NetScaler dipakai dengan autentikasi SAML bareng fungsi Gateway atau AAA. Jadi deployment yang tidak memakai SAML kemungkinan besar tidak kena.
Cara mengeceknya cukup langsung: buka konfigurasi dan lihat apakah appliance disetel sebagai SAML service provider (SP) atau SAML identity provider (IdP). Kalau ada baris add authentication samlAction, appliance itu jalan sebagai SAML SP. Kalau ada add authentication samlIdPProfile, appliance jalan sebagai SAML IdP. Dua-duanya masuk kategori yang wajib segera dipatch.
Dampak yang dikonfirmasi Citrix sejauh ini adalah denial-of-service. Kalau kondisi pemicunya ditrigger berulang, layanan bisa tetap tidak tersedia. Citrix menyebut analisisnya tidak menemukan indikasi data pelanggan ikut dirusak, jadi yang terancam lebih ke ketersediaan layanan ketimbang integritas data.
“Citrix has observed targeted attacks on unmitigated NetScaler deployments which can lead to Denial of Service. If the condition is triggered repeatedly, the service may remain unavailable. Our analysis indicates that this issue affects service availability, and we have not identified an impact on the integrity of customer data.”
Dari reboot misterius sampai dugaan eksekusi kode
Ceritanya mulai Kamis, saat para admin NetScaler melaporkan appliance yang baru dipatch tiba-tiba reboot sendiri. Di sebuah thread Reddit, seorang admin bilang beberapa pelanggan yang jalan di NetScaler 14.1-73.37 mengalami forced reboot berulang walau sudah memasang update keamanan terbaru yang tersedia saat itu. Admin lain melaporkan pola serupa, termasuk pada appliance yang dibangun ulang dari image baru. Thread lain menyebut proses nsaaad crash terus-menerus sampai Pitboss menyentuh batas restart-nya dan reboot appliance.
Awalnya belum jelas apakah ini bug di firmware anyar atau memang serangan yang sedang jalan. Tapi seorang admin yang menyelidiki insiden di perangkat 14.1-73.37 menemukan username autentikasi yang dirancang khusus berisi shell command. Perintah itu mengunduh payload dari alamat IP 213.209.159[.]55, menyimpannya sebagai /v, lalu menjalankannya. Request semacam itu muncul persis sebelum tiga rangkaian crash nsaaad yang terkonfirmasi di satu appliance, dan menyasar beberapa faktor autentikasi SAML sekaligus. Admin tersebut menegaskan log-nya hanya menunjukkan percobaan eksploitasi plus crash yang berkorelasi, bukan bukti bahwa command-nya benar-benar berhasil dieksekusi.
Sinyal ke arah eksekusi kode juga datang dari pakar keamanan Kevin Beaumont. Dia melaporkan honeypot NetScaler 13.1 dan 14.1 miliknya yang sudah dipatch tetap crash setelah menerima request dari banyak alamat IP, dan menyebut aktivitas ini berpotensi jadi “PitScaler” berikutnya. Belakangan dia bilang aktivitas itu tampak lebih dari sekadar DoS, setelah menemukan salah satu honeypot yang sudah dipatch menjalankan payload malware hasil unduhan. “So on one of the honeypots it’s running a downloaded (malware) binary. Both were patched, so new vuln,” katanya. Menurut dia serangannya “sprayed and prayed” alias asal tembak ke banyak target sekaligus.
Beaumont juga menyoroti bahwa CVE-2026-88779 cuma digambarkan sebagai “Memory overflow vulnerability leading to Denial of Service”, mirip dengan cara CVE-2025-6543 digambarkan di awal sebelum belakangan terbukti bisa dipakai untuk remote code execution. WatchTowr Labs mengaku berhasil mereproduksi celah ini dalam hitungan jam setelah mendeteksi aktivitas di honeypot NetScaler, walau detail teknisnya belum dibuka. Citrix dalam kreditnya menyebut Bishop Fox dan watchTowr sebagai pelapor celah ini.
Yang perlu kamu lakukan sekarang
Citrix sudah merilis update untuk menutup CVE-2026-88779. NetScaler ADC dan NetScaler Gateway perlu naik ke 14.1-73.41 atau 13.1-64.28 ke atas. Untuk deployment FIPS, targetnya 14.1-73.41 FIPS. Sementara pelanggan NetScaler ADC FIPS dan NDcPP di cabang 13.1 disarankan memasang 13.1-37.282.
Citrix juga menyediakan Global Deny Lists untuk memblokir akses dari alamat IP jahat yang sudah dikenal, tapi tetap menyarankan update dipasang secepat mungkin — bukan mengandalkan daftar blokir saja.
Ada satu bagian yang bikin kesal. Kalau kamu baru minggu ini upgrade untuk menutup dua celah yang juga aktif dieksploitasi (CVE-2026-88771 sampai CVE-2026-88778), kamu masih harus upgrade lagi untuk lubang yang satu ini. Citrix sendiri mengingatkan supaya deployment yang memenuhi prasyarat di atas “please upgrade your deployment again”. Serangan terhadap CVE-2026-88771 dan CVE-2026-88772 sebelumnya dilaporkan dipakai buat menanam web shell dan tool tunneling di sistem yang berhasil dikompromi.
Di Amerika Serikat, CISA sudah memasukkan CVE-2026-88779 ke katalog Known Exploited Vulnerabilities, yang menegaskan celah ini benar-benar aktif dieksploitasi di lapangan. Agency federal (FCEB) diberi tenggat sampai 7 Oktober untuk memasang mitigasinya.
