Alerta de Vulnerabilidade - Citrix NetScaler ADC e NetScaler Gateway
Foram identificadas oito vulnerabilidades no Citrix NetScaler ADC e NetScaler Gateway, divulgadas pelo fabricante no boletim de segurança CTX697096 [1]. Duas delas foram exploradas como zero-day, antes de existir correção disponível:
- CVE-2026-88771/EUVD-2026-87958 (CVSS - 9.5): validação incorreta de input (CWE-20). Um atacante remoto não autenticado pode executar comandos arbitrários no equipamento. Afeta todas as instalações do NetScaler ADC e NetScaler Gateway em versão vulnerável, incluindo as que mantêm a configuração predefinida, sem que seja necessária qualquer funcionalidade adicional [1][2];
- CVE-2026-88772/EUVD-2026-87959 (CVSS - 9.5): restrição incorreta de operações nos limites de um buffer de memória (CWE-119). Um atacante remoto não autenticado pode obter execução de código ou provocar uma condição de negação de serviço. Exige que o DTLS esteja ativo, o que sucede por predefinição nos VPN virtual servers [1][3].
São afetadas as seguintes versões [1][2][3]:
- NetScaler ADC e NetScaler Gateway 14.1: versões anteriores à 14.1-73.37
- NetScaler ADC e NetScaler Gateway 13.1: versões anteriores à 13.1-64.23
- NetScaler ADC 14.1-FIPS: versões anteriores à 14.1-73.37 FIPS
- NetScaler ADC 13.1-FIPS e 13.1-NDcPP: versões anteriores à 13.1-37.279
São igualmente afetadas as instâncias NetScaler utilizadas em implementações Secure Private Access Hybrid. O boletim aplica-se apenas a instalações geridas pelo cliente; os serviços cloud e o Adaptive Authentication geridos pela Cloud Software Group foram já atualizados [1].
As restantes seis vulnerabilidades do boletim têm scores entre 7.0 e 9.3 e pré-condições específicas de configuração, abrangendo HTTP request smuggling, contorno de políticas, overflow de memória em servidores virtuais de vários tipos e previsibilidade de números de sequência TCP [1].
A exploração de ambas as vulnerabilidades é remota e não requer autenticação, privilégios nem interação do utilizador. O CVE-2026-88771 apresenta a exposição mais ampla, uma vez que atinge qualquer equipamento em versão vulnerável independentemente da configuração: verificar a configuração não permite excluir a exposição, bastando que a build não esteja atualizada [1].
Estando estes equipamentos posicionados no perímetro da rede, o comprometimento de um deles dá ao atacante um ponto de apoio à entrada da organização e uma via de acesso aos sistemas internos, sem necessidade de comprometer previamente um posto de trabalho [1][4].
Recomenda-se a atualização imediata para uma versão corrigida, tratando esta operação como uma mudança de emergência [1]:
- NetScaler ADC e NetScaler Gateway 14.1: 14.1-73.37 ou posterior
- NetScaler ADC e NetScaler Gateway 13.1: 13.1-64.23 ou posterior
- NetScaler ADC 14.1-FIPS: 14.1-73.37 FIPS ou posterior
- NetScaler ADC 13.1-FIPS e 13.1-NDcPP: 13.1-37.279 ou posterior
Medidas adicionais recomendadas:
- Não considerar a desativação do DTLS como medida de contenção. Reduz a exposição apenas ao CVE-2026-88772 e não tem qualquer efeito sobre o CVE-2026-88771, que atinge todas as instalações [1];
- Verificar se os equipamentos foram atualizados para as builds que corrigiram vulnerabilidades anteriores, nomeadamente a 14.1-73.32 e a 13.1-63.21, dado que essas builds continuam a necessitar desta atualização [1];
- Consultar os indicadores de compromisso genéricos disponibilizados pelo fabricante através do NetScaler Console, para determinar se os equipamentos foram afetados [1][5];
- Havendo suspeita de comprometimento, preservar as evidências da instância antes de qualquer outra ação, isolar o equipamento da rede, revogar as credenciais e acessos, e investigar todos os servidores e sistemas a que o NetScaler estava ligado. Em seguida, reconstruir o equipamento e atualizar o firmware para a versão mais recente. Ao restaurar a partir de um backup considerado íntegro, alterar as palavras-passe de todas as contas locais e as Key Encryption Keys (KEK), e substituir todos os certificados SSL restaurados [6].
[2] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-88771
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-88772
[4] - https://www.bleepingcomputer.com/news/security/citrix-admins-warned-to-shut-down-netscalers-over-2-exploited-zero-days/
[5] - https://community.citrix.com/techzone-blogs/110_security-updates/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve-2026-88771-through-cve-2026-88778/
[6] - https://support.citrix.com/external/article/CTX694799/steps-to-take-if-netscaler-adc-is-suspec.html