Keamanan/Cyber SecurityBerita

CitrixBleed 2: Celah NetScaler dan Langkah Mitigasinya

CitrixBleed 2 (CVE-2025-5777) bisa membocorkan memori NetScaler, termasuk token sesi. Ikuti langkah patch dan kenapa sesi aktif wajib diputus.

Ditulis olehTheresia Candiawan

Terbit 6 November 2026 5 menit baca

Jawaban singkat

CitrixBleed 2 (CVE-2025-5777) adalah celah baca memori berlebih di NetScaler ADC dan Gateway yang dikonfigurasi sebagai Gateway atau AAA. Perbaikannya build 14.1-43.56 dan 13.1-58.32 atau lebih baru. Setelah upgrade, putus semua sesi aktif agar token yang mungkin bocor tidak bisa dipakai.

Daftar isi

Kantormu memakai NetScaler Gateway supaya karyawan bisa bekerja dari rumah? Kalau ya, pertanyaan pertamanya: build berapa yang sedang berjalan, dan kapan terakhir semua sesi aktif diputus?

Jawaban dua pertanyaan itu menentukan apakah kamu masih terpapar CVE-2025-5777, celah yang dijuluki CitrixBleed 2. Celah ini membuat perangkat membaca memori melebihi batas yang seharusnya ("memory overread") akibat validasi input yang kurang, dengan skor CVSS v4.0 9.3 menurut buletin resmi Citrix CTX693420. Memori yang bocor bisa berisi data sesi, sehingga penyerang berpeluang membajak sesi pengguna yang sudah login. CISA memasukkannya ke katalog Known Exploited Vulnerabilities pada 10 Juli 2025.

Siapa yang terdampak?

Celah ini hanya berlaku bila NetScaler dikonfigurasi sebagai Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) atau sebagai AAA virtual server. Kalau NetScaler-mu dipakai sebagai pintu VPN atau akses jarak jauh karyawan, kemungkinan besar perangkat itu masuk kategori ini.

Buletin yang sama juga memuat CVE-2025-5349, celah kontrol akses di antarmuka manajemen. Keduanya diperbaiki di build yang sama. Julukan "CitrixBleed 2" merujuk pada CitrixBleed (CVE-2023-4966) tahun 2023, yang polanya mirip: memori bocor, token sesi ikut terbawa.

Langkah mitigasi CitrixBleed 2

Langkah 1: Inventaris semua perangkat NetScaler

Catat setiap appliance, termasuk pasangan HA dan anggota cluster. Untuk masing-masing, cek versi dan build (misalnya lewat perintah show ns version atau antarmuka GUI) dan apakah ada Gateway atau AAA virtual server yang aktif. Perangkat cadangan yang jarang dipakai sering terlupa, padahal masih bisa dijangkau dari internet.

Langkah 2: Bandingkan dengan build perbaikan

Menurut buletin CTX693420, build yang sudah aman adalah:

NetScaler ADC dan Gateway 14.1: 14.1-43.56 atau lebih baru
NetScaler ADC dan Gateway 13.1: 13.1-58.32 atau lebih baru
NetScaler ADC 13.1-FIPS dan NDcPP: 13.1-37.235 atau lebih baru
NetScaler ADC 12.1-FIPS: 12.1-55.328 atau lebih baru

Versi 12.1 dan 13.0 (non-FIPS) sudah end of life, tetap rentan, dan tidak mendapat perbaikan. Perangkat di versi itu harus dinaikkan ke versi yang masih didukung.

Langkah 3: Upgrade seluruh appliance

Jadwalkan jendela perawatan, lalu upgrade semua node. Pada pasangan HA atau cluster, pastikan semua node sudah di build baru sebelum lanjut ke langkah berikutnya. Kalau hanya satu node yang di-upgrade, sesi bisa berpindah ke node lama yang masih rentan.

Langkah 4: Putus semua sesi aktif

Langkah ini yang paling sering dilewati. Patch mencegah kebocoran baru, tapi token sesi yang sudah terlanjur bocor sebelum patch masih bisa dipakai penyerang. Buletin Citrix meminta, setelah semua appliance di HA pair atau cluster di-upgrade, menjalankan:

kill icaconnection -all
kill pcoipConnection -all

Periksa buletin terbaru sebelum eksekusi, karena vendor bisa menambah daftar perintah untuk jenis sesi lain. Beri tahu karyawan sebelumnya bahwa mereka akan diminta login ulang.

Langkah 5: Periksa log untuk tanda percobaan eksploitasi

Pada 15 Juli 2025, NetScaler menerbitkan panduan membaca log. Dua hal yang disorot:

Baris syslog berisi "Authentication is rejected for" dengan pesan AAA yang memuat karakter non-ASCII (byte 128 sampai 255) bisa menandakan percobaan eksploitasi.
Pada event SSLVPN TCPCONNSTAT, perbedaan antara IP klien dan IP sumber dalam satu sesi bisa menandakan sesi dibajak, meski bisa juga karena pengguna berpindah jaringan.

NetScaler mengingatkan bahwa pencurian sesi "masuk akal tapi tidak pasti", tergantung konfigurasi dan lalu lintas, dan pemeriksaan ini tidak menangkap semua eksploitasi.

Langkah 6: Tindak lanjut bila ada tanda mencurigakan

Bila ada indikasi sesi dibajak, ganti password akun yang terlibat, cabut token atau sertifikat klien yang terkait, dan periksa sistem internal yang bisa diakses lewat VPN itu. Penyerang yang sudah masuk lewat sesi curian biasanya bergerak ke server lain, bukan berdiam di gateway.

Ringkasan build dan tindakan

Jalur	Status	Tindakan
14.1 sebelum 14.1-43.56	Rentan	Upgrade ke 14.1-43.56 atau lebih baru
13.1 sebelum 13.1-58.32	Rentan	Upgrade ke 13.1-58.32 atau lebih baru
13.1-FIPS/NDcPP sebelum 13.1-37.235	Rentan	Upgrade ke 13.1-37.235 atau lebih baru
12.1-FIPS sebelum 12.1-55.328	Rentan	Upgrade ke 12.1-55.328 atau lebih baru
12.1 dan 13.0 (non-FIPS)	End of life, rentan	Pindah ke versi yang didukung

Semua angka di atas dari buletin CTX693420 per 4 November 2026.

Pertanyaan yang sering diajukan

Perangkat kami hanya dipakai sebagai load balancer, apakah terdampak?

Menurut buletin Citrix, CVE-2025-5777 hanya berlaku bila NetScaler dikonfigurasi sebagai Gateway atau AAA virtual server. Tetap cek konfigurasinya, karena satu perangkat bisa menjalankan beberapa peran.

Kenapa sesi harus diputus kalau sudah patch?

Patch hanya mencegah kebocoran baru. Token sesi yang bocor sebelumnya masih sah sampai sesi diakhiri, jadi pemutusan sesi menutup peluang penyerang memakai token lama.

Apakah cukup mengecek log lalu tidak menemukan apa-apa?

Belum tentu. NetScaler sendiri menyebut pemeriksaan log tidak mendeteksi semua eksploitasi. Log bersih bukan jaminan, jadi patch dan pemutusan sesi tetap wajib.

Apakah celah ini sudah dieksploitasi?

Ya. CISA mencantumkan CVE-2025-5777 di katalog Known Exploited Vulnerabilities sejak 10 Juli 2025 dengan tenggat satu hari untuk instansi federal AS. Per 4 November 2026, entrinya juga bertanda "Known" untuk pemakaian dalam kampanye ransomware.

Checklist singkat

Semua appliance, termasuk node HA dan cadangan, sudah tercatat.
Build sudah di atau di atas versi perbaikan di tabel.
Perangkat 12.1 dan 13.0 non-FIPS sudah dipensiunkan atau dimigrasi.
kill icaconnection -all dan kill pcoipConnection -all sudah dijalankan setelah semua node di-upgrade.
Log sudah diperiksa untuk karakter non-ASCII pada pesan AAA dan perubahan IP dalam sesi.
Akses jarak jauh dibatasi ke pengguna yang memang butuh. Bila kamu sedang menimbang opsi akses kantor lain, perbandingan protokolnya ada di WireGuard vs L2TP vs SSTP dan konsep IP tetap untuk akses kantor di VPN IP statik.
Celah di perangkat tepi jaringan dipantau rutin lewat katalog KEV CISA.