A Citrix alertou os responsáveis de TI sobre uma vulnerabilidade crítica identificada como CVE-2026-107406 em dispositivos NetScaler ADC e soluções NetScaler Gateway para acesso remoto seguro, e pediu a instalação imediata das atualizações recomendadas. O problema decorre de uma falha de estouro de memória que pode ser explorada para executar comandos remotamente no dispositivo-alvo ou provocar uma condição de negação de serviço que leve à sua interrupção.
Nem todas as implantações do NetScaler estão necessariamente expostas; a vulnerabilidade exige que o dispositivo esteja configurado para atuar como provedor de identidade ou provedor de serviço no protocolo SAML (Security Assertion Markup Language, linguagem de marcação de asserções de segurança). A Citrix afirmou que, até a publicação de seu boletim de segurança, não tinha evidências de exploração não corrigida da vulnerabilidade em ataques reais, mas instou os clientes afetados a consultar o boletim e atualizar os sistemas o mais rápido possível.
Versões recomendadas pela Citrix
A empresa especificou as seguintes versões, ou versões posteriores, para corrigir o problema:
- NetScaler ADC e NetScaler Gateway 14.1-73.46 e versões posteriores.
- NetScaler ADC e NetScaler Gateway 13.1-64.29 e versões posteriores do ramo 13.1.
- NetScaler ADC 14.1-FIPS versão 14.1-73.46 FIPS e versões posteriores do ramo 14.1-FIPS.
- NetScaler ADC 13.1-FIPS e 13.1-NDcPP versão 13.1.37.283 e versões posteriores de ambos os ramos.
Por que este alerta é importante?
A Shadowserver monitora mais de 21 mil endereços IP que apresentam assinaturas do NetScaler na internet, entre eles pouco mais de 1.500 instâncias do Gateway e cerca de 20 mil dispositivos NetScaler ADC. Esse número não indica quantos dispositivos representam sistemas reais expostos, dispositivos de honeypot ou sistemas que foram atualizados, nem comprova que todos utilizam a configuração relacionada ao SAML, mas demonstra a dimensão da possível superfície de exposição.
A prioridade da correção ocorre no contexto de um histórico recente de exploração de vulnerabilidades do NetScaler. Em março, a Citrix instou os clientes a corrigir duas vulnerabilidades identificadas como CVE-2026-3055 e CVE-2026-4368, dias antes de invasores começarem a explorá-las. Em setembro, a empresa lançou atualizações para duas vulnerabilidades de dia zero de execução remota de comandos, CVE-2026-88771 e CVE-2026-88772, que foram usadas para distribuir web shells e malware de tunelamento, roubar credenciais, obter acesso com privilégios de root e movimentar-se pelas redes internas.
A Citrix também lançou, no início do mês, atualizações emergenciais para uma vulnerabilidade de negação de serviço identificada como CVE-2026-88779, que, segundo pesquisadores e administradores de sistemas afirmaram posteriormente, também poderia ser explorada para executar comandos remotamente. De acordo com a fonte, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu 27 vulnerabilidades exploradas ativamente em produtos da Citrix desde novembro de 2021, sete das quais estiveram associadas a ataques de ransomware.
Na prática, os responsáveis pelo NetScaler precisam primeiro verificar se as configurações de SAML estão ativadas, depois comparar o ramo da versão com as orientações da Citrix e aplicar a atualização adequada. A ausência de exploração confirmada da vulnerabilidade atual não significa que seja seguro adiar a correção, especialmente porque vulnerabilidades anteriores no produto passaram do alerta à exploração em um curto período.