Citrix confirma exploração ativa de bugs zero-day no NetScaler durante fim de semana
A Citrix levou quase todo o fim de semana para confirmar que atacantes estavam explorando ativamente os mais recentes bugs zero-day do NetScaler, deixando as equipes de defesa de rede e os caçadores de ameaças sem confirmação oficial.
Enquanto isso, vários CERTs, empresas de consultoria, seguradoras, pesquisadores e profissionais ativos da segurança alertaram seus respectivos colegas e comunidades sobre uma ameaça séria e em andamento, muito antes de a empresa emitir qualquer comunicado público.
No domingo, a Citrix divulgou um aviso de segurança revelando dois bugs que estão sendo explorados, identificados como CVE-2026-88771 e CVE-2026-88772, e lançou correções para essas falhas e para outros seis defeitos.
As vulnerabilidades críticas receberam nota 9.5 na escala CVSS e permitem que atacantes realizem execução remota de código. A CVE-2026-88771 é uma falha de injeção de comando presente em todos os aparelhos NetScaler em configuração padrão, oferecendo um amplo conjunto de alvos e aumentando as chances de exploração. Um exploit de prova de conceito também está disponível publicamente.
A Palo Alto Networks identificou mais de 50.000 dispositivos Citrix NetScaler expostos publicamente que poderiam ser afetados pelos dois bugs até o domingo. A primeira tentativa conhecida de exploração ocorreu em 24 de setembro, segundo a GreyNoise, mas pesquisadores alertam que os ataques provavelmente começaram antes.
A Citrix não informou quantos clientes foram comprometidos até o momento e pesquisadores ainda avaliam o dano causado. A empresa está disponibilizando indicadores genéricos de comprometimento nos consoles dos usuários e remetendo aos guias já emitidos para quem suspeita de invasão.
A Agência de Segurança Cibernética e Infraestrutura emitiu um alerta no domingo, logo depois que a Citrix confirmou os ataques aos seus clientes, e adicionou a CVE-2026-88771 e a CVE-2026-88772 ao seu catálogo de vulnerabilidades conhecidas como exploradas. O fornecedor apareceu nessa lista cinco vezes este ano e um total de 26 vezes desde o fim de 2021.
Líderes de segurança do setor, como Charles Carmakal da Mandiant e Wendi Whitmore da Palo Alto Networks, também agiram rapidamente no domingo, publicando avisos diretos no LinkedIn sobre a ameaça urgente. Seguradoras relataram que tiveram que notificar clientes potencialmente vulneráveis com poucos dados oficiais e sem confirmação da CISA ou da Citrix.
No LinkedIn, um profissional de uma seguradora chamou a Citrix de “inconsciente e irresponsável” por permanecer em silêncio por mais de 36 horas depois que começaram a circular informações sobre exploração em ambiente real. “Entendo um fornecedor censurando detalhes quando um patch ainda não foi publicado, mas uma vez que a falha está sendo explorada, algumas dessas regras deixam de se aplicar”, escreveu.
A Citrix afirmou que identificou vulnerabilidades críticas no NetScaler ADC e no Gateway, desenvolvendo e lançando rapidamente uma nova versão do software para corrigir os problemas. A empresa não respondeu diretamente sobre o motivo do longo atraso na comunicação.
O padrão de atrasos em divulgações da Citrix já foi observado em incidentes anteriores, como os conhecidos CitrixBleed e CitrixBleed 2. Especialistas questionam se a empresa aprendeu com crises passadas e melhorou a forma como protege e informa seus clientes. “Os clientes não deveriam depender de avisos não oficiais, pesquisadores de segurança e terceiros para saber que infraestrutura crítica pode já estar comprometida”, destacou um analista.
Com informações de: CyberScoop