Seguir A Citrix divulgou a CVE-2026-107406, uma vulnerabilidade crítica de estouro de memória que afeta os dispositivos NetScaler ADC e NetScaler Gateway configurados para funções específicas de autenticação SAML. A falha possui uma pontuação CVSS v4.0 de 9.5 e pode permitir que um atacante remoto não autenticado execute código arbitrário ou desencadeie uma condição de negação de serviço em sistemas vulneráveis.
A vulnerabilidade é particularmente significativa porque os dispositivos NetScaler frequentemente operam na periferia da rede e fornecem funcionalidade de autenticação, entrega de aplicativos e acesso remoto. A exploração bem-sucedida poderia, portanto, comprometer a infraestrutura posicionada entre usuários externos e recursos empresariais sensíveis.
A Citrix publicou o boletim de segurança CTX697191 em 8 de outubro de 2026, instando as organizações afetadas a realizar a atualização imediatamente. A exposição depende não apenas da compilação instalada do NetScaler, mas também de se o dispositivo está configurado como um provedor de serviço SAML (SP) ou como um provedor de identidade (IdP). A Citrix afirmou na divulgação que não estava ciente de explorações não mitigadas visando a falha.
As organizações podem fortalecer suas defesas contra a exploração emergente de vulnerabilidades com a Plataforma de Inteligência de Detecção Nativa em IA da SOC Prime, que ajuda as equipes de segurança a acelerar a engenharia de detecção de ameaças, caça às ameaças e investigação em diversos ambientes de segurança.
Profissionais de segurança também podem usar as capacidades Prime Architect e Uncoder AI para transformar inteligência de ameaças em lógica de detecção, gerar consultas de caça, adaptar detecções à telemetria organizacional e traduzir regras entre tecnologias SIEM, EDR, XDR e Data Lake suportadas.
Análise da CVE-2026-107406
A CVE-2026-107406 afeta dispositivos NetScaler ADC e NetScaler Gateway gerenciados por clientes que executam versões vulneráveis e configurados com funcionalidade SAML aplicável. A Citrix descreve o problema como uma vulnerabilidade de estouro de memória que pode resultar em execução remota de código ou negação de serviço. Ela é classificada sob CWE-119, Restrição Imprópria de Operações dentro dos Limites de um Buffer de Memória.
O vetor CVSS indica que a exploração pode ocorrer remotamente pela rede sem autenticação ou interação do usuário. No entanto, a Citrix classifica a complexidade do ataque como alta, sugerindo que a exploração bem-sucedida requer condições técnicas específicas além de simplesmente alcançar um dispositivo vulnerável.
As condições exatas de exposição variam de acordo com a compilação de software. Lançamentos do NetScaler ADC e Gateway entre 14.1-73.37 e 14.1-73.41, inclusive, e versões entre 13.1-64.23 e 13.1-64.28, inclusive, são vulneráveis quando configuradas como um SAML IdP. Intervalos equivalentes afetados também existem para implantações NetScaler ADC 14.1-FIPS e 13.1-FIPS/NDcPP.
Lançamentos suportados mais antigos têm uma exposição mais ampla. Compilações anteriores a 14.1-73.37 ou 13.1-64.23 podem ser vulneráveis quando configuradas como um SAML SP ou SAML IdP. Portanto, os administradores precisam avaliar tanto a versão do dispositivo quanto a configuração de autenticação em vez de confiar apenas nas informações da versão.
A Citrix recomenda verificar as configurações do NetScaler para add authentication samlAction, que indica uma configuração de SAML SP, e add authentication samlIdPProfile, que identifica uma configuração de SAML IdP. Essas entradas devem ser correlacionadas com os intervalos de compilação vulneráveis aplicáveis.
Implantações Híbridas de Acesso Privado Seguro que usam instâncias NetScaler afetadas também estão expostas e requerem atualizações. Os serviços em nuvem gerenciados pela Citrix e a Autenticação Adaptativa gerida pela Citrix são tratados separadamente porque o Cloud Software Group aplica as atualizações de software necessárias a esses ambientes geridos.
A falha foi relatada por meio de divulgação coordenada de vulnerabilidade, com a Citrix creditando Michael Tucker, Chew Keong Tan e Alex Bernier do JPMorgan Chase XOR Team, bem como Maxim Suhanov. O fornecedor não divulgou publicamente a data exata em que a vulnerabilidade foi inicialmente descoberta.
Na época da publicação, nem a Citrix nem o relatório referenciado identificam uma PoC pública da CVE-2026-107406 ou uma campanha de exploração do mundo real confirmada. No entanto, a gravidade crítica da vulnerabilidade, a acessibilidade da rede e o potencial para execução de código não autenticada tornam a remediação rápida uma prioridade.
Para detecção da CVE-2026-107406, as equipes de segurança devem primeiro identificar dispositivos expostos correlacionando versões do NetScaler com configurações de SAML SP e IdP. Os defensores também devem revisar a telemetria do NetScaler para instabilidade de serviço inesperada, falhas, atividade de rede anormal ou outro comportamento que possa indicar tentativas de explorar a corrupção de memória.
Mitigação da CVE-2026-107406
A Citrix recomenda fortemente a atualização dos dispositivos NetScaler afetados o mais rápido possível. O fornecedor lançou compilações corrigidas que cobrem os ramos de produto suportados.
- NetScaler ADC e NetScaler Gateway 14.1: atualizar para 14.1-73.46 ou posterior; NetScaler ADC e Gateway 13.1: atualizar para 13.1-64.29 ou posterior; NetScaler ADC 14.1-FIPS: atualizar para 14.1-73.46 FIPS ou posterior; NetScaler ADC 13.1-FIPS e 13.1-NDcPP: atualizar para 13.1-37.283 ou posterior.
Organizações que operam implantações Híbridas de Acesso Privado Seguro também devem garantir que as instâncias do NetScaler subjacentes sejam atualizadas para as versões corrigidas relevantes. Dispositivos que chegaram ao fim da vida útil devem ser migrados para versões suportadas em vez de serem deixados expostos em compilações desatualizadas.
Os administradores podem usar a funcionalidade de Aviso de Segurança do Console do NetScaler para identificar instâncias impactadas por meio de uma varredura de versão e iniciar o fluxo de trabalho de atualização recomendado. Isso pode ajudar as organizações a avaliar vários dispositivos NetScaler e priorizar sistemas vulneráveis para remediação.
Para detectar a exposição da CVE-2026-107406, as equipes de segurança devem inventariar os sistemas NetScaler voltados para a internet, determinar suas compilações exatas e verificar se cada dispositivo está operando como um SAML SP, SAML IdP ou ambos. Como o fornecedor não divulgou IOCs da CVE-2026-107406 específicos de exploração, os defensores devem evitar confiar apenas em indicadores estáticos e, em vez disso, combinar gerenciamento de exposição à vulnerabilidade com monitoramento comportamental.
As equipes de segurança também devem examinar atividade suspeita em torno dos dispositivos afetados e correlacionar eventos do NetScaler com firewall, identidade, endpoint e telemetria de rede. Quaisquer falhas de serviço inesperadas ou atividades anormais envolvendo endpoints SAML acessíveis externamente devem receber investigação adicional até que as instâncias afetadas tenham sido atualizadas.
A Plataforma de Inteligência de Detecção Nativa em IA da SOC Prime pode ajudar as organizações a operacionalizar a inteligência de ameaças emergentes, acelerar a engenharia de detecção e melhorar a visibilidade sobre potencial exploração de vulnerabilidades em sua infraestrutura de segurança.
FAQ
O que é a CVE-2026-107406 e como ela funciona?
A CVE-2026-107406 é uma vulnerabilidade crítica de estouro de memória no Citrix NetScaler ADC e NetScaler Gateway. Um atacante remoto não autenticado pode ser capaz de desencadear uma corrupção de memória que resulta em execução de código arbitrário ou negação de serviço. A exploração depende da versão do software afetado e se o dispositivo está configurado como um SAML SP ou SAML IdP.
Quando a CVE-2026-107406 foi descoberta pela primeira vez?
A Citrix não publicou a data precisa de descoberta inicial. A vulnerabilidade foi divulgada publicamente por meio do boletim de segurança CTX697191 em 8 de outubro de 2026. A Citrix creditou pesquisadores do JPMorgan Chase XOR Team e Maxim Suhanov por trabalharem responsavelmente com o fornecedor na questão.
Qual é o impacto da CVE-2026-107406 nos sistemas?
A exploração bem-sucedida pode permitir que um atacante não autenticado execute código arbitrário em um dispositivo NetScaler vulnerável ou cause uma negação de serviço. Como esses sistemas frequentemente fornecem serviços de entrega de aplicativos voltados para a internet e autenticação, a violação pode criar riscos significativos à segurança para a infraestrutura empresarial conectada.
A CVE-2026-107406 ainda pode me afetar em 2026?
Sim. Os dispositivos NetScaler ADC e Gateway geridos por clientes que executam compilações afetadas permanecem expostos se atenderem às pré-condições de configuração SAML relevantes e não tiverem sido atualizados. Os serviços em nuvem geridos pela Citrix recebem as atualizações necessárias diretamente do Cloud Software Group.
Como posso me proteger da CVE-2026-107406?
Atualize imediatamente os dispositivos NetScaler ADC e Gateway afetados para as compilações corrigidas recomendadas pelo fornecedor. Verifique as versões do software e as configurações SAML, priorize sistemas acessíveis externamente e investigue o comportamento anômalo do dispositivo. Os administradores devem continuar monitorando o boletim de segurança da Citrix para detalhes atualizados sobre a CVE-2026-107406.
