A Citrix instou os clientes a proteger imediatamente os dispositivos NetScaler após a divulgação de duas vulnerabilidades que afetam as soluções de acesso remoto seguro NetScaler Gateway e os dispositivos de rede NetScaler ADC. O principal risco é que uma das vulnerabilidades possa permitir que invasores remotos sem privilégios contornem a autenticação, enquanto a segunda pode ser explorada para realizar ataques de negação de serviço.
Bypass da autenticação em casos de configuração específicos
A vulnerabilidade mais grave é identificada como CVE-2026-19490 e pode ser explorada por invasores não autenticados para contornar a autenticação quando o dispositivo está configurado como um servidor virtual do tipo AAA ou como Gateway. Os casos de Gateway mencionados incluem SSL VPN, ICA Proxy, CVPN e RDP Proxy.
O impacto sobre o dispositivo depende da versão do firmware e de a configuração SAML Action estar habilitada. Os administradores podem verificar a presença das condições associadas à vulnerabilidade examinando as configurações do NetScaler e procurando as seguintes strings:
- add authentication samlAction .*
- add authentication vserver .*
- add vpn vserver .*
Outra vulnerabilidade pode levar à interrupção do serviço
A segunda vulnerabilidade, identificada como CVE-2026-19489 e classificada pela Citrix como de alta gravidade, é uma falha de extrapolação dos limites da memória. Invasores remotos sem autenticação podem explorá-la em ataques de negação de serviço quando a função SIP ALG, ou seja, o gateway de aplicação do Protocolo de Iniciação de Sessão, está habilitada em uma configuração de grupo NAT de grande escala.
Para saber se as configurações dos dispositivos atendem às condições de exploração, as equipes de segurança devem examinar a configuração em busca da string add lsn group.*sipalg.*.
Versões recomendadas pela Citrix
A empresa recomendou atualizar os dispositivos afetados NetScaler ADC e NetScaler Gateway para uma das seguintes versões, de acordo com o tipo de implantação:
- NetScaler ADC e NetScaler Gateway 14.1-73.32 ou posterior.
- NetScaler ADC e NetScaler Gateway 13.1-63.21 ou posterior.
- NetScaler ADC FIPS 14.1-73.32 FIPS ou posterior.
- NetScaler ADC FIPS e NDcPP 13.1-37.277 ou posterior.
O alerta abrange as versões compatíveis do NetScaler ADC e do NetScaler Gateway gerenciadas pelos clientes, incluindo algumas versões FIPS e NDcPP. As implantações do SecurAccess ZTNA Hybrid, anteriormente conhecidas como Secure Private Access Hybrid, também são afetadas quando utilizam instâncias do NetScaler gerenciadas pelos clientes.
Por que este alerta é importante?
A Citrix ainda não listou as duas vulnerabilidades como exploradas em ataques reais, mas o histórico de vulnerabilidades anteriores explica a urgência da atualização. Em 23 de março, a empresa instou os administradores a corrigir as vulnerabilidades CVE-2026-3055 e CVE-2026-4368, dias antes de invasores começarem a explorá-las efetivamente. Posteriormente, em 30 de março, a CISA adicionou a CVE-2026-3055 ao catálogo de vulnerabilidades conhecidamente exploradas e ordenou que as agências federais protegessem os dispositivos Citrix afetados no prazo de três dias.
Nos últimos cinco anos, a Agência de Segurança Cibernética dos Estados Unidos identificou 22 vulnerabilidades em produtos Citrix que, segundo informou, foram exploradas em ataques reais; seis delas também foram usadas em ataques de ransomware. A organização ShadowServer monitora atualmente mais de 22 mil instâncias do NetScaler ADC e cerca de 1.800 instâncias do NetScaler Gateway expostas na internet, sem determinar quantos dispositivos podem estar vulneráveis à exploração por meio das duas novas vulnerabilidades.