NetScaler: CVE-2026-88771 dan CVE-2026-88772 dalam CISA KEV

Dua vulnerability pada Citrix NetScaler ADC dan Gateway diketahui telah dieksploitasi. Pasukan teknikal perlu semak aset, versi dan tindakan yang disarankan vendor berdasarkan rekod tersebut. [1]

Executive Summary

CISA menyenaraikan CVE-2026-88771 dan CVE-2026-88772 dalam Known Exploited Vulnerabilities (KEV) pada 27 September 2026. Rekod itu menunjukkan bahawa kedua-duanya diketahui telah dieksploitasi. Namun, rekod ini tidak menerangkan sepenuhnya skala serangan, mangsa atau keadaan serangan pada hari ini. [1]

CVE-2026-88771 membolehkan penyerang menjalankan arahan sewenang-wenangnya tanpa authentication. CVE-2026-88772 pula boleh menyebabkan remote code execution atau denial of service. Kedua-duanya melibatkan NetScaler ADC dan NetScaler Gateway. [1][2][3]

Kami menyarankan pasukan teknikal mengenal pasti pemasangan yang terlibat dahulu. Padankan versinya dengan rekod yang tersedia, kemudian dapatkan arahan vendor sebelum menentukan perubahan yang perlu dibuat. Artikel ini memberi asas triage sahaja. Untuk memasang patch dan memeriksa sama ada sistem telah dikompromi, pasukan masih perlu merujuk dokumen vendor yang dipautkan oleh CISA. [1]

Apa Yang Berlaku?

Laporan ini berdasarkan penambahan kedua-dua CVE ke KEV pada 27 September. Rekod NVD pula diterbitkan pada 27 September 2026 mengikut UTC. Tarikh penerbitan rekod itu tidak menunjukkan bila serangan pertama berlaku. [1][2][3]

Artikel ini membincangkan kedua-dua CVE bersama kerana produk yang terlibat sama dan tarikh kemasukan KEV juga sama. Ini tidak membuktikan penyerang menggunakan kedua-duanya dalam satu exploit chain. Bukti yang tersedia tidak menunjukkan urutan serangan seperti itu. [1][2][3]

Rekod KEV menyatakan bahawa penggunaan kedua-dua CVE dalam kempen ransomware tidak diketahui. Status itu bukan bukti bahawa kedua-duanya tidak digunakan dalam ransomware. [1]

Kenapa Ia Penting?

Menurut sumber, satu CVE membolehkan arahan dijalankan tanpa authentication. CVE yang satu lagi boleh membolehkan kod dijalankan atau mengganggu perkhidmatan. Penyenaraian dalam KEV membantu pasukan menentukan keutamaan kerana rekod itu menunjukkan eksploitasi yang diketahui. [1]

Pada pandangan kami, pasukan operasi perlu menentukan keutamaan berdasarkan aset sebenar, exposure kepada internet dan kepentingan perkhidmatan. Gunakan rekod ini untuk memulakan semakan bersama pemilik sistem. Jangan tutup tiket hanya kerana nombor versi sudah dikenal pasti. Catat produk, release branch dan arahan vendor yang menjadi asas keputusan perubahan.

Technical Details

Bagi CVE-2026-88771, penerangan CISA dan NVD menyebut improper input validation serta keupayaan menjalankan arahan tanpa authentication. Namun, klasifikasi CWE berbeza: NVD merekodkan CWE-20, sementara medan CWE dalam KEV menyatakan CWE-119. Artikel ini mengekalkan kedua-dua klasifikasi tanpa memilih satu sebagai klasifikasi muktamad. [1][2]

Bagi CVE-2026-88772, CISA menerangkan bahawa operasi boleh melangkaui had memory buffer. Masalah ini boleh menyebabkan remote code execution atau denial of service. Kedua-dua rekod CISA dan NVD menyenaraikan CWE-119 untuk CVE ini. [1][3]

Kedua-dua rekod NVD menyenaraikan skor CVSS v4.0 sebanyak 9.5, dengan severity CRITICAL. Penilaian itu dilabel Secondary. Sumber penilainya ialah 50a63c94-1ea7-4568-8c11-eb79e7c5a2b5. Nama organisasi penilai tidak dinyatakan dalam bukti yang tersedia. Artikel ini menyebut skor tersebut sebagai penilaian dalam rekod NVD sahaja, tanpa mengaitkannya dengan NIST atau Citrix. [2][3]

Vector yang direkodkan juga berbeza: CVE-2026-88771 mempunyai AC:L/AT:P, sementara CVE-2026-88772 mempunyai AC:H/AT:N. Kekalkan perbezaan ini dalam rekod triage walaupun skor akhirnya sama. Bukti yang tersedia tidak memberi butiran endpoint, payload atau syarat konfigurasi yang diperlukan untuk membina semula serangan. [2][3]

Sistem / Produk Terjejas

Penerangan NVD menyenaraikan had versi terjejas yang sama bagi kedua-dua CVE. Frasa “sebelum” di bawah dikekalkan seperti dalam rekod. Semak setiap versi bersama produk dan variannya. [2][3]

• NetScaler ADC: sebelum 14.1-73.37 dan sebelum 13.1-64.23. [2][3]
• NetScaler ADC FIPS: sebelum 14.1-73.37 FIPS. [2][3]
• NetScaler ADC FIPS dan NDcPP: sebelum 13.1.37.279 FIPS and NDcPP, mengikut ejaan versi dalam sumber. [2][3]
• NetScaler Gateway: sebelum 14.1-73.37 dan sebelum 13.1-64.23. [2][3]

Maklumat ini datang daripada penerangan NVD. Ia belum cukup untuk menentukan laluan naik taraf, keserasian antara release branch atau cara memasang patch. Kandungan bulletin vendor yang dirujuk belum tersedia dalam bukti artikel ini. Sahkan release branch dan varian pemasangan sebelum memilih build sasaran. [1][2][3]

Detection / IOC

CISA menyebut keperluan forensic triage dalam tindakan yang direkodkan. Namun, bukti yang tersedia tidak memberikan nilai IOC, nama fail, hash, alamat IP atau arahan detection yang telah disahkan untuk diterbitkan. Artikel ini tidak menyediakan rule SIEM atau query carian berasaskan andaian. [1]

Kami menyarankan supaya keputusan semakan versi dan pemeriksaan tanda kompromi dicatat secara berasingan dalam tiket insiden. Nyatakan dengan jelas pemeriksaan yang belum dibuat. Dapatkan juga panduan triage yang dirujuk oleh sumber. Jangan anggap aset bersih hanya kerana artikel ini tidak menyenaraikan butiran IOC.

Mitigation & Patch

Bagi kedua-dua CVE, CISA mengarahkan pasukan mengambil langkah mitigation mengikut panduan vendor. Pasukan juga perlu menilai exposure setiap aset kepada internet dan mengambil kira panduan forensic triage yang dirujuk. Rekod itu turut mengarahkan penggunaan produk dihentikan jika mitigation tidak tersedia. [1]

Bukti yang dikumpulkan mengandungi pautan ke bulletin Citrix CTX697096. Namun, kandungannya belum dibaca dalam kutipan ini. Oleh itu, artikel ini tidak membuat dakwaan tentang tarikh keluaran patch, arahan CLI, keperluan reboot atau keberkesanan workaround tertentu. Had versi NVD di atas tidak menggantikan prosedur vendor. [1][2][3]

Apa Yang Security Team Malaysia Perlu Buat

Kami mencadangkan langkah berikut untuk membantu pasukan menyelaraskan kerja. Cadangan ini tidak bermaksud ada mangsa yang dikenal pasti di Malaysia:

• Senaraikan pemasangan ADC dan Gateway bersama pemilik sistem, versi penuh dan release branch. Catat varian FIPS atau NDcPP jika berkenaan, serta exposure kepada internet. Mulakan semakan dengan senarai versi di atas.
• Minta pihak yang mengurus perubahan mendapatkan bulletin vendor yang berkaitan. Catat rujukan dan build sasaran yang telah disahkan sebelum menjadualkan perubahan. Jangan teka langkah pemasangan daripada nombor versi sahaja.
• Selaraskan semakan mitigation dengan pasukan incident response. Catat tindakan perubahan dan pemeriksaan tanda kompromi dalam rekod berasingan supaya kedua-dua keputusan boleh dijejaki.
• Maklumkan pengurusan tentang impak yang disokong sumber dan perkara yang masih perlu disahkan. Tentukan siapa yang bertanggungjawab dan tempoh semakan dalaman mengikut risiko organisasi. Jangan anggap arahan CISA mewujudkan kewajipan undang-undang tempatan.

References

Rujukan berikut ialah rekod CISA dan NVD yang disimpan dalam kutipan tempatan bertarikh 28 September 2026. Pautan keluar dalam rekod itu tidak dikira sebagai sumber tambahan yang telah dibaca.

1. CISA — Known Exploited Vulnerabilities Catalog, rekod CVE-2026-88771 dan CVE-2026-88772. Sumber bagi tarikh KEV, impak, status eksploitasi yang diketahui dan tindakan yang direkodkan.
2. NVD — CVE-2026-88771. Rekod tempatan daripada NVD API; penerangan, batas versi, penilaian dan klasifikasi.
3. NVD — CVE-2026-88772. Rekod tempatan daripada NVD API; penerangan, batas versi, penilaian dan klasifikasi.