Clientes da Citrix lidam com mais um zero-day explorado em NetScaler
No final de semana passado, clientes da Citrix enfrentaram mais um fim de semana de incertezas e preocupações após a descoberta de uma nova vulnerabilidade zero-day ativamente explorada em produtos NetScaler.
A falha, identificada como CVE‑2026‑88779, foi avaliada como menos crítica porque provoca uma negação de serviço e só afeta instalações que têm o SAML (Security Assertion Markup Language) habilitado. “Isso significa que o exploit não funciona imediatamente em todas as implantações de NetScaler”, explicou Jake Knott, chefe de inteligência de ameaças da watchTowr, em entrevista à CyberScoop. “Embora seja muito inconveniente, não há correria de organizações para acionar resposta a incidentes.”
A Citrix agiu rapidamente para alertar os clientes sobre a nova ameaça na sexta‑feira e publicou um blog mais detalhado e um advisory de segurança no dia seguinte, incluindo um patch para o defeito de alta severidade. “Assim que fomos informados sobre o problema, desenvolvemos e publicamos imediatamente uma mitigação enquanto simultaneamente desenvolvíamos, testávamos e implantávamos uma correção”, afirmou um porta‑voz da empresa. “O fix para este problema está disponível e instamos todos os clientes a aplicá‑lo rapidamente em suas instâncias NetScaler.”
A Cybersecurity and Infrastructure Security Agency (CISA) adicionou a vulnerabilidade ao seu catálogo de falhas exploradas no domingo. A resposta rápida do fornecedor trouxe alívio para clientes e pesquisadores que passaram o fim de semana anterior tentando avaliar rumores generalizados sobre outros defeitos nos gateways de borda de rede atacados. Na ocasião anterior, a Citrix demorou a maior parte do fim de semana para confirmar que invasores estavam explorando um par de zero‑days, alguns dos quais permaneceram indetectados por pelo menos três semanas.
“A Citrix fez um trabalho melhor na resposta a esta vulnerabilidade”, disse Joe Toomey, vice‑presidente de subscrição de segurança da Coalition. “Tomou medidas que permitiram aos clientes tomar decisões baseadas em risco com informações mais atuais disponíveis.”
Embora o risco atualmente seja considerado baixo para CVE‑2026‑88779, a falha “é incrivelmente simples de acionar, com um único pedido especialmente elaborado sendo suficiente para derrubar um dispositivo”, acrescentou Knott. “A exploração já está ocorrendo no mundo real, e interromper um gateway de autenticação pode impedir que usuários legítimos acessem os serviços atrás dele.”
Toomey descreveu a falha de negação de serviço como menos séria do que os zero‑days explorados na semana anterior. No entanto, ele observou que as tentativas de exploração de CVE‑2026‑88779 “claramente contêm shellcode que sugere que o agente de ameaça acredita que pode usar esta falha, ou combiná‑la com outra, para alcançar execução remota de código”.
A Citrix se recusou a revelar quantos clientes foram impactados pela última zero‑day ou quando a primeira exploração ocorreu. Knott, da watchTowr, estimou que a exploração provavelmente começou na sexta‑feira. A falha mais recente não tem vínculos técnicos com o par de zero‑days divulgado pela Citrix menos de uma semana antes, mas pode acelerar uma delas, CVE‑2026‑88771, ao derrubar máquinas intencionalmente para acelerar o processo de exploração.
Com informações de: CyberScoop