Vulnerabilidades críticas são exploradas em sistemas Citrix NetScaler

Dois problemas críticos que permitem a execução remota de código foram encontrados nas soluções Citrix NetScaler ADC e NetScaler Gateway e já estão sendo usados por atacantes. A Citrix confirmou a situação em 27 de setembro e divulgou correções para ambas as falhas, além de outros seis problemas de segurança.

As falhas, identificadas como CVE‑2026‧88771 e CVE‑2026‧88772, afetam todos os instaladores em versões vulneráveis, mesmo quando configurados com as definições padrão. A empresa não informou como as falhas estão sendo usadas, quem as explorou ou desde quando o ataque ocorre, e não listou soluções alternativas para nenhum dos problemas.

As versões 14.1 build 73.32 e 13.1 build 63.21 estão dentro da faixa afetada, após terem corrigido anteriormente a falha de bypass de autenticação CVE‑2026‧19490 em agosto. A Citrix orientou os clientes a instalarem as atualizações mais recentes assim que possível.

O boletim cobre equipamentos gerenciados pelos clientes, inclusive instâncias do NetScaler usadas em implantações de Acesso Privado Seguro Híbrido, e também atualiza os serviços em nuvem da Citrix e o Adaptive Authentication gerenciado.

A versão 13.1 recebeu a correção após esse ramo ter atingido o fim do período de manutenção em 15 de setembro, o que aumenta a urgência da atualização para quem ainda está nessa linha.

A empresa de segurança watchTowr alertou pela primeira vez em 26 de setembro sobre rumores de várias vulnerabilidades RCE não corrigidas no NetScaler. Em uma postagem posterior, a empresa confirmou que as duas falhas foram descobertas durante investigações forenses e que a Citrix deve divulgar comunicados e correções no início da semana de 28 de setembro. Alguns administradores relataram ter desligado os equipamentos após avisos de fornecedores, mas os detalhes permanecem escassos.

Pelo fato de as falhas terem sido exploradas antes da divulgação das correções, instalar as atualizações não revela se um invasor já havia conseguido acesso. Após um incidente de zero day contra organizações holandesas em 2025, o Centro Nacional de Cibersegurança dos Países Baixos alertou que a aplicação de patches por si só não elimina o risco e recomendou que os administradores usassem scripts de verificação.

Os scripts do órgão holandês analisam appliances ativos, dumps de núcleo e imagens completas do NetScaler, mas têm limitações. O README do script para appliances ativos afirma que ele busca indicadores de comprometimento sem garantir a detecção e que não é específico para uma única vulnerabilidade.

A Hacker News solicitou comentários à Cloud Software Group, proprietária da Citrix e do NetScaler, e à watchTowr, e atualizará a reportagem caso obtenha respostas.
Com informações de: The Hacker News