Falhas críticas no Citrix NetScaler entram na lista de vulnerabilidades exploradas da CISA
Duas vulnerabilidades graves do Citrix NetScaler foram adicionadas ao catálogo de falhas com exploração conhecida da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA). A inclusão ocorreu após a identificação de ataques contra equipamentos expostos e sem correção. Para os órgãos federais americanos, a agência estabeleceu 30 de setembro como prazo para instalar as atualizações.
As falhas são identificadas como CVE-2026-88771 e CVE-2026-88772. Ambas receberam pontuação 9,5 na escala CVSS, que mede a gravidade de vulnerabilidades. A Citrix disponibilizou versões corrigidas em 27 de setembro, mesma data em que os problemas foram incluídos no catálogo da CISA.
A CVE-2026-88771 está relacionada à validação inadequada de dados recebidos pelo sistema. Em determinadas condições, um invasor pode executar comandos arbitrários sem autenticação. O problema afeta instalações do NetScaler ADC e do NetScaler Gateway que utilizam a configuração padrão.
Já a CVE-2026-88772 decorre de falhas no controle dos limites de buffers de memória. A exploração pode resultar em execução remota de código ou negação de serviço, interrompendo o funcionamento do equipamento. O risco está associado ao DTLS, recurso que vem habilitado por padrão nos servidores virtuais de VPN.
Estão vulneráveis as versões 14.1-73.32 e 13.1-63.21, além das anteriores. A recomendação é atualizar para a versão 14.1-73.37 ou superior, ou para a 13.1-64.23 ou superior. Organizações que utilizam variantes FIPS devem instalar as versões corrigidas correspondentes.
A exploração foi identificada em 26 de setembro. No dia seguinte, a Citrix confirmou que já havia observado ataques contra instalações que ainda não tinham sido protegidas. A empresa não apresentou uma medida alternativa que substitua a atualização; por isso, aplicar o patch é a ação indicada para corrigir as falhas.
Atualizar não basta: como reduzir o risco
A instalação da correção impede a exploração das vulnerabilidades, mas não confirma que o equipamento estava seguro antes da atualização. Um dispositivo pode ter sido comprometido enquanto ainda utilizava uma versão vulnerável. Por isso, organizações devem tratar a atualização e a investigação de possíveis invasões como etapas distintas.
O primeiro passo é identificar todos os appliances NetScaler sob responsabilidade da equipe, incluindo os que atendem filiais, ambientes de nuvem ou sistemas de terceiros. Verificar apenas os dispositivos mais conhecidos pode deixar equipamentos esquecidos expostos à internet e sem proteção.
Depois de atualizar, é importante examinar registros e sinais de atividade incomum referentes ao período em que o sistema esteve vulnerável. A análise pode envolver tentativas de acesso inesperadas, alterações não autorizadas e conexões com outros recursos da rede. Como os ataques podem deixar rastros limitados, a ausência de evidências óbvias não deve ser interpretada automaticamente como prova de que não houve invasão.
Se houver suspeita de comprometimento, preserve os registros e demais evidências antes de realizar mudanças que possam apagá-los. Quando apropriado, isole o equipamento da rede para limitar a propagação de uma eventual intrusão, coordenando a medida com as equipes responsáveis pelos serviços dependentes do NetScaler.
A investigação também deve considerar os sistemas conectados ao appliance. Credenciais usadas ou armazenadas no ambiente podem ter sido expostas; por isso, recomenda-se revogar acessos potencialmente afetados e substituir senhas e chaves criptográficas. A troca deve ser planejada para evitar interrupções e impedir que segredos antigos continuem válidos.
Em caso de comprometimento confirmado, instalar o patch pode não ser suficiente para restaurar a confiança no dispositivo. A orientação é reconstruí-lo com firmware atualizado e configurações verificadas, em vez de apenas retornar à operação uma instalação possivelmente alterada por um invasor.
Por fim, equipes de segurança devem revisar a exposição dos serviços de VPN e o estado do DTLS, além de manter um processo de atualização urgente para tecnologias de acesso remoto. A rapidez é essencial, mas precisa vir acompanhada de validação: corrigir, investigar e proteger credenciais reduz tanto a chance de novos ataques quanto o impacto de uma invasão anterior.