Citrix menambal celah SAML kritis di NetScaler yang dapat berujung pada eksekusi kode

Citrix telah menerbitkan buletin keamanan untuk CVE-2026-107406, sebuah kerentanan di NetScaler ADC dan NetScaler Gateway. Buletin tersebut menggambarkannya sebagai luapan memori (memory overflow) yang dapat berujung pada eksekusi kode jarak jauh (remote code execution) atau penolakan layanan (denial of service), mengategorikannya ke dalam CWE-119, sebuah kelas kelemahan buffer memori, dan memberinya skor dasar CVSS v4.0 sebesar 9,5. Buletin ini hanya mencakup perangkat yang dijalankan sendiri oleh pelanggan; Cloud Software Group, perusahaan di balik Citrix, menyatakan bahwa pihaknya menerapkan pembaruan pada layanan cloud dan Adaptive Authentication yang dikelola sendiri oleh Citrix.

Sebuah perangkat hanya terpapar bila berfungsi sebagai penyedia layanan (service provider/SP) SAML atau penyedia identitas (identity provider/IdP) SAML, dan peran mana yang relevan bergantung pada build. Pada build yang lebih lama dari 14.1-73.37 dan 13.1-64.23, serta pada build FIPS yang lebih lama dari 14.1-73.37 FIPS dan 13.1-37.279, kedua peran terdampak. Pada build yang lebih baru, yakni 14.1-73.37 hingga 14.1-73.41 (termasuk padanan 14.1-FIPS), 13.1-64.23 hingga 13.1-64.28, serta build 13.1-FIPS/NDcPP 13.1-37.279 hingga 13.1-37.282, hanya peran penyedia identitas yang rentan, menurut Citrix.

Citrix mencantumkan rilis perbaikan berikut: 14.1-73.46 atau lebih baru untuk cabang 14.1, 13.1-64.29 atau lebih baru dalam 13.1, 14.1-73.46 FIPS atau lebih baru untuk 14.1-FIPS, serta 13.1.37.283 atau lebih baru untuk edisi 13.1-FIPS dan 13.1-NDcPP. Instans NetScaler yang menjadi bagian dari penerapan Secure Private Access Hybrid juga terdampak dan memerlukan peningkatan yang sama. Untuk mengetahui apakah suatu perangkat menggunakan salah satu peran SAML, Citrix menyatakan administrator dapat memeriksa konfigurasinya untuk entri yang cocok dengan add authentication samlAction (penyedia layanan) atau add authentication samlIdPProfile (penyedia identitas).

Terkait eksploitasi, Citrix menyatakan dalam pernyataan yang dikutip BleepingComputer: “Per tanggal penerbitan buletin, Citrix tidak mengetahui adanya eksploit yang belum dimitigasi terhadap kerentanan ini”. The Register mencatat bahwa Citrix tidak menyebutkan apakah celah tersebut telah dimanfaatkan sebagai zero-day sebelum diungkapkan. Buletin tersebut memberikan kredit kepada peneliti dari XOR Team di JPMorgan Chase. BleepingComputer melaporkan bahwa Shadowserver memantau lebih dari 21.000 alamat IP dengan sidik jari NetScaler di internet, hampir 20.000 di antaranya perangkat ADC dan sedikit di atas 1.500 instans Gateway, tetapi tidak diketahui berapa banyak yang merupakan honeypot, sudah ditambal, atau dikonfigurasi dengan cara yang rentan.

Perbaikan ini menyusul sejumlah celah NetScaler yang telah dimanfaatkan penyerang tahun ini. Awal bulan ini Citrix merilis pembaruan darurat untuk CVE-2026-88779, sebuah zero-day penolakan layanan yang menurut The Register memiliki skor 8,7 dan yang kemudian, menurut BleepingComputer, dinyatakan oleh peneliti dan administrator juga memungkinkan eksekusi kode. Menurut The Register, celah tersebut dan celah yang baru sama-sama melibatkan luapan memori dalam konfigurasi SAML. Pada September, Citrix memperbaiki dua zero-day yang telah dieksploitasi, CVE-2026-88771 dan CVE-2026-88772; peneliti Google menyatakan bahwa kampanye yang menyalahgunakan CVE-2026-88772 telah berlangsung setidaknya sejak awal September. BleepingComputer menambahkan bahwa sejak November 2021 CISA telah mencantumkan 27 kerentanan Citrix sebagai dieksploitasi secara aktif, tujuh di antaranya dalam serangan ransomware.