Luapan memori berbasis SAML di NetScaler — CVE-2026-88779 masuk KEV (batas waktu 7 Oktober)
Citrix mengungkapkan kelemahan batas buffer memori di NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix mengatakan telah mengamati serangan tertarget pada deployment yang belum dimitigasi yang dapat menyebabkan penolakan layanan. Pencantuman KEV oleh CISA menetapkan eksploitasi kerentanan ini, dan deskripsi singkatnya mengatakan cacat tersebut dapat memungkinkan penolakan layanan. Tidak satu pun sumber mengonfirmasi bahwa deployment yang terdampak benar-benar terhenti. CISA menambahkannya pada 4 Oktober, dengan batas waktu federal 7 Oktober. Bersama CVE-2026-88771 dan CVE-2026-88772 (keduanya ditambahkan 27 September), ini adalah entri KEV NetScaler ketiga yang ditambahkan dalam dua minggu, bukan entri ketiga sepanjang sejarah produk (katalog sudah memuat entri lebih lama, termasuk CVE-2023-4966). Tanda tangan Global Deny List (v24 atau lebih baru) adalah mitigasi sementara, dan perbaikan ada di 14.1-73.41 / 13.1-64.28 atau lebih baru.
Artikel ini diterjemahkan oleh mesin.
Pada 3 Oktober (Pacific Daylight Time), Citrix menerbitkan CVE-2026-88779 untuk NetScaler ADC (sebelumnya Citrix ADC) dan NetScaler Gateway (sebelumnya Citrix Gateway) dalam buletin keamanan CTX697174 dan artikel penjelasan komunitas. Kerentanan ini diklasifikasikan sebagai CWE-119 (Pembatasan Operasi yang Tidak Tepat dalam Batas Buffer Memori) dengan skor dasar CVSS v4.0 sebesar 8.7 (CNA: NetScaler). Masalah ini memengaruhi deployment NetScaler yang dikelola pelanggan (customer-managed) yang menggunakan autentikasi SAML bersamaan dengan fungsi Gateway atau AAA. Versi yang terdampak adalah ADC dan Gateway 14.1 sebelum 14.1-73.41 dan 13.1 sebelum 13.1-64.28, ADC FIPS sebelum 14.1-73.41 FIPS, serta ADC FIPS dan NDcPP sebelum 13.1-37.282 (Citrix CTX697174; NVD diterbitkan 4 Oktober 2026). Citrix menyatakan telah mengamati serangan tertarget terhadap deployment yang belum dimitigasi yang dapat menyebabkan penolakan layanan. Deskripsi singkat KEV CISA mengatakan cacat tersebut dapat memungkinkan penolakan layanan, dan pencantumannya menetapkan eksploitasi kerentanan. Tidak satu pun sumber mengonfirmasi bahwa deployment yang terdampak benar-benar terhenti. Analisis Citrix tidak mengidentifikasi dampak pada integritas data pelanggan.
CISA menambahkan kerentanan ini ke katalog KEV-nya pada 4 Oktober, memberikan waktu hingga 7 Oktober bagi agensi sipil federal untuk merespons (BOD 26-04, tiga hari dari pencatatan). Catatan KEV mengharuskan penerapan mitigasi yang diarahkan vendor sesuai dengan BOD 26-04 dan Persyaratan Triase Forensik CISA; triase forensik ditandai sebagai Ya (Yes) dan penggunaan kampanye ransomware yang diketahui adalah Tidak Diketahui (Unknown) (katalog CISA KEV 2026.10.04, total 1.734 entri). Citrix mengusulkan pemeriksaan mandiri konfigurasi untuk prasyarat: sebuah deployment memenuhi prasyarat tersebut jika dikonfigurasi sebagai SAML SP (add authentication samlAction) atau sebagai SAML IdP (add authentication samlIdPProfile). Tanda tangan Global Deny List yang disediakan Citrix (v24 atau lebih baru) tersedia pada 14.1-73.37 atau lebih baru hingga sebelum 14.1-73.41, dan pada 13.1-64.23 atau lebih baru hingga sebelum 13.1-64.28, dengan virtual patching NetScaler Console diaktifkan dan Encrypted Version terlihat dalam show appfw signatures.
Analisis (dipisahkan dari pelaporan): dua entri KEV yang ditambahkan pada 27 September tidak bergantung pada SAML. CTX697096 menyatakan CVE-2026-88771 (validasi input yang tidak tepat yang dapat memungkinkan penyerang tidak terautentikasi menjalankan perintah arbitrer) memengaruhi semua deployment NetScaler ADC dan NetScaler Gateway, termasuk konfigurasi bawaan, tanpa fitur tambahan yang diperlukan. CTX697096 menyatakan CVE-2026-88772 (luapan memori yang dapat menyebabkan eksekusi kode jarak jauh atau penolakan layanan) memerlukan DTLS, yang diaktifkan secara bawaan pada VPN vServer. Bersama CVE-2026-88779 yang ditambahkan pada 4 Oktober, itu adalah tiga entri KEV NetScaler yang ditambahkan dalam dua minggu. Katalog sudah memuat entri NetScaler yang lebih lama, termasuk CVE-2023-4966 (ditambahkan 18 Oktober 2023), jadi ini bukan entri ketiga produk sepanjang sejarahnya. Citrix tidak menyatakan apakah ketiganya berbagi akar penyebab. Layanan cloud yang dikelola Citrix berada di luar buletin untuk deployment yang dikelola pelanggan.
Implikasi bagi para pembela: (1) jika lingkungan Anda memiliki konfigurasi SAML SP atau IdP, verifikasi versi yang terdeploy terhadap CTX697174 segera dan tingkatkan 14.1 ke 14.1-73.41 atau lebih baru, 13.1 ke 13.1-64.28 atau lebih baru, dan FIPS / NDcPP ke 14.1-73.41 FIPS / 13.1-37.282 atau lebih baru; lingkungan yang sudah ditingkatkan untuk CTX697096 (buletin CVE-2026-88771 hingga CVE-2026-88778) masih membutuhkan peningkatan lain jika memenuhi prasyarat. (2) Sebagai mitigasi sementara sampai pemutakhiran, terapkan tanda tangan Global Deny List (v24 atau lebih baru) dan periksa penghitung dengan stat denylist global AAA_REQUEST. Prosedur verifikasi Citrix mengatakan nilai yang lebih besar dari nol menunjukkan bahwa aturan sedang bekerja. (3) Catatan KEV menetapkan forensicTriage ke Yes dan mewajibkan triase forensik menurut BOD 26-04. Untuk kerentanan ini, prasyarat CTX697174 adalah SAML SP (add authentication samlAction) atau SAML IdP (add authentication samlIdPProfile). CVE-2026-88771 dan CVE-2026-88772 memiliki prasyarat yang berbeda di CTX697096.