A Citrix confirmou a exploração de duas vulnerabilidades de dia zero nos dispositivos NetScaler ADC e NetScaler Gateway, após alertas especiais enviados a organizações e equipes de segurança durante o fim de semana. A empresa publicou o boletim de segurança CTX697096 e as atualizações que corrigem as duas vulnerabilidades, além de outras seis, totalizando oito falhas corrigidas na atualização.
Duas vulnerabilidades com gravidade 9,5
A primeira vulnerabilidade, CVE-2026-88771, tem gravidade 9,5 e decorre de uma validação inadequada de entradas. Um invasor não autenticado pode explorá-la para executar comandos arbitrários remotamente. A Citrix afirma que a vulnerabilidade afeta todas as implantações do NetScaler ADC e do NetScaler Gateway, incluindo as configurações padrão, e não exige a ativação de nenhum recurso adicional.
Já a CVE-2026-88772 é uma vulnerabilidade de estouro de memória com gravidade 9,5 e pode levar à execução remota de comandos ou à negação de serviço. Sua exploração exige que o DTLS esteja ativado no dispositivo, observando-se que o DTLS vem ativado por padrão nos servidores VPN virtuais.
Versões afetadas
As versões afetadas incluem o NetScaler ADC e o NetScaler Gateway 14.1 anteriores à versão 14.1-73.37 e a versão 13.1 anterior à 13.1-64.23. A lista também inclui o NetScaler ADC FIPS anterior à versão 14.1-73.37 FIPS, bem como o NetScaler ADC FIPS e o NDcPP anteriores à versão 13.1-37.279. As implantações do Secure Private Access Hybrid que utilizam instâncias do NetScaler também são afetadas e devem ser atualizadas para as versões recomendadas.
O comunicado se aplica aos dispositivos NetScaler ADC e NetScaler Gateway administrados pelos clientes. Já os serviços em nuvem administrados pela Citrix, incluindo o Citrix-managed Adaptive Authentication, serão atualizados pela Cloud Software Group.
O que a confirmação oficial muda?
Os dispositivos NetScaler geralmente funcionam como pontos de acesso expostos à internet para fornecer acesso remoto e entregar aplicações às redes internas. Por isso, seu comprometimento pode dar ao invasor uma posição inicial na fronteira da rede, sem a necessidade de comprometer primeiro um dispositivo terminal interno. A Citrix confirma que a exploração das duas vulnerabilidades foi observada em implantações para as quais não haviam sido adotadas medidas de mitigação ou correção.
Fornecedores, equipes de segurança e agências nacionais já haviam solicitado que algumas organizações desligassem os dispositivos NetScaler, enquanto a empresa watchTowr alertou sobre a circulação de informações confiáveis a respeito da exploração de vulnerabilidades de execução remota não corrigidas. Um aviso atribuído ao Centro Nacional de Segurança Cibernética dos Países Baixos também informou que a exploração foi observada em vários clientes da Citrix ao redor do mundo, sem especificar a extensão dos ataques.
O que os responsáveis devem revisar
As organizações devem atualizar os dispositivos NetScaler afetados para as versões corrigidas o mais rápido possível. Se não for possível realizar a atualização imediatamente, o artigo recomenda reduzir a exposição à internet sempre que os requisitos operacionais permitirem, até que as correções sejam instaladas. O momento da implementação continua sendo importante porque as atualizações do NetScaler podem causar interrupções operacionais, e a divulgação de detalhes técnicos e atualizações pode aumentar as tentativas de exploração.