Seguir A Citrix lançou atualizações de segurança emergenciais para duas vulnerabilidades críticas zero-day que afetam o NetScaler ADC e o NetScaler Gateway após confirmar que invasores já estão explorando ambas as falhas em ataques no mundo real. Rastreada como CVE-2026-88771 e CVE-2026-88772, as vulnerabilidades possuem cada uma uma pontuação CVSS v4.0 de 9,5 e podem possibilitar a execução remota não autenticada de código em dispositivos vulneráveis.
As falhas são particularmente perigosas porque os dispositivos NetScaler geralmente ficam na borda das redes empresariais, fornecendo entrega de aplicações, acesso VPN, autenticação e conectividade remota. A violação bem-sucedida pode, portanto, dar aos atacantes um ponto de apoio estrategicamente valioso entre usuários externos e infraestrutura interna.
A CVE-2026-88771 é causada por validação de entrada inadequada e pode permitir que um atacante não autenticado execute comandos arbitrários remotamente. Nenhuma funcionalidade opcional ou configuração especial é necessária: implementações vulneráveis do NetScaler ADC e Gateway estão expostas mesmo em sua configuração padrão.
A CVE-2026-88772 é uma vulnerabilidade de estouro de memória que pode resultar em execução remota de código ou negação de serviço. A exploração requer que o DTLS esteja habilitado, mas a Citrix observa que o DTLS é habilitado por padrão em servidores virtuais VPN, tornando muitas implementações do NetScaler Gateway potencialmente expostas sem que os administradores tenham explicitamente ativado o recurso.
A CISA adicionou ambas as vulnerabilidades ao seu catálogo de Vulnerabilidades Exploradas Conhecidas em 27 de setembro de 2026, citando relatórios e inteligência de parceiros confirmando exploração global. As agências do Ramo Executivo Civil Federal receberam até 30 de setembro para aplicar as correções da Citrix.
Análise da CVE-2026-88771 e CVE-2026-88772
Os dois zero-days oferecem caminhos técnicos diferentes para a violação, mas levam a resultados igualmente graves.
Análise da CVE-2026-88771 centra-se em uma fraqueza de validação de entrada inadequada classificada como CWE-20. A Citrix afirma que um atacante de rede não autenticado pode explorar a falha para executar comandos arbitrários em um dispositivo NetScaler vulnerável.
A vulnerabilidade não requer nenhum modo de implementação especial. A CVE-2026-88771 afeta todas as instalações vulneráveis do NetScaler ADC e NetScaler Gateway, incluindo sistemas em configuração padrão.
Seu vetor CVSS 4.0 é:
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
A vulnerabilidade é remotamente acessível, não requer privilégios do atacante ou interação da vítima, e pode ter grande impacto em confidencialidade, integridade e disponibilidade.
A CVE-2026-88772 segue um caminho diferente. A vulnerabilidade é classificada como CWE-119, Restrição Imprópria de Operações dentro dos Limites de um Buffer de Memória. Corrupção de memória desencadeada através do caminho DTLS vulnerável pode causar execução remota de código ou negação de serviço.
Os detalhes principais para CVE-2026-88772 são relacionados à configuração. A condição vulnerável existe quando DTLS está habilitado no NetScaler ADC ou Gateway. A Citrix alerta especificamente que DTLS é habilitado por padrão em servidores virtuais VPN.
Por exemplo, uma configuração como:
add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE
não desativa explicitamente o DTLS, o que significa que o servidor virtual VPN permanece exposto.
Uma configuração contendo:
-dtls OFF
não atende ao pré-requisito documentado para essa vulnerabilidade em particular.
Outros servidores virtuais configurados diretamente com o tipo DTLS também podem expor a funcionalidade vulnerável.
A CVE-2026-88772 tem o seguinte vetor CVSS 4.0:
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Embora a Citrix classifique sua complexidade de ataque como superior à CVE-2026-88771, a exploração bem-sucedida ainda pode oferecer RCE não autenticado e, potencialmente, comprometimento completo do dispositivo afetado.
Ambas as vulnerabilidades afetam as seguintes versões do NetScaler suportado antes de suas respectivas construções corrigidas:
- NetScaler ADC e NetScaler Gateway 14.1 antes da 14.1-73.37
- NetScaler ADC e NetScaler Gateway 13.1 antes da 13.1-64.23
- NetScaler ADC FIPS 14.1 antes da 14.1-73.37 FIPS
- NetScaler ADC FIPS e NDcPP 13.1 antes da 13.1-37.279
Implantações Híbridas de Acesso Privado Seguro que usam instâncias afetadas do NetScaler também exigem atualizações.
Serviços em nuvem gerenciados pela Citrix e a Autenticação Adaptativa gerenciada pela Citrix são tratadas pelo Cloud Software Group, que aplica as atualizações de software necessárias a esses serviços gerenciados.
A divulgação foi precedida por avisos incomuns durante o fim de semana anterior. Antes de a Citrix publicar os identificadores CVE e os patches, pesquisadores de segurança e respondedores de incidentes relataram evidências de múltiplas vulnerabilidades de RCE do NetScaler anteriormente não divulgadas sendo exploradas contra dispositivos voltados para a internet. Relatos indicam que algumas organizações foram aconselhadas a isolar ou desligar temporariamente sistemas vulneráveis enquanto aguardavam a remediação oficial.
A Citrix publicou o CTX697096 em 27 de setembro, confirmando que a exploração de ambas as vulnerabilidades foi observada em implantações não mitigadas.
As datas exatas de descoberta privada não foram divulgadas publicamente, e a Citrix não identificou os agentes de ameaça responsáveis pelos ataques ou forneceu uma data de início definitiva para a campanha de exploração.
Os ataques são significativos porque os dispositivos de borda oferecem um ponto de entrada inicial atraente. A execução bem-sucedida de comandos ou código em um sistema NetScaler pode permitir que invasores implantem cargas persistentes, acessem materiais de autenticação, inspecionem tráfego, roubem credenciais, alterem configurações ou se desloquem em direção a sistemas acessíveis a partir do dispositivo.
Essas são consequências potenciais do comprometimento do dispositivo. A Citrix não documentou publicamente toda a cadeia de pós-exploração usada em cada ataque observado.
Atualmente, não há histórico público, credível e totalmente armado PoC da CVE-2026-88771 referenciado no aviso da Citrix ou nos dois relatórios solicitados. Isso não reduz o risco imediato: a Citrix e a CISA já confirmaram que os atacantes possuem capacidades de exploração funcionais.
A Citrix disponibilizou capacidades genéricas de detecção de comprometimento por meio do fluxo de trabalho do Aviso de Segurança do Console do NetScaler. Este recurso requer telemetria e está disponível através do serviço Console, assim como suportado em implantações locais do Console usando Cloud Connect.
Não há um conjunto público abrangente de IOCs da CVE-2026-88772 específicas do atacante, como endereços IP, hashes de malware, domínios ou strings de comandos no material-fonte. As organizações, portanto, devem evitar tratar a ausência de uma correspondência conhecida de IOC como evidência de que o dispositivo está limpo.
A Citrix alerta especificamente que suas verificações disponíveis não podem cobrir todas as técnicas de ataque e podem falhar em identificar todas as violações. Registros externos e evidências forenses são, portanto, importantes.
Mitigação para CVE-2026-88771 e CVE-2026-88772
A Citrix recomenda fortemente a atualização imediata de todos os dispositivos NetScaler ADC e Gateway afetados.
As versões corrigidas são:
- NetScaler ADC / Gateway 14.1-73.37 ou posterior
- NetScaler ADC / Gateway 13.1-64.23 ou posterior
- NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS ou posterior
- NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.279 ou posterior
Os administradores que executam a versão 13.1 também devem revisar a orientação de atualização mais recente da Citrix. A Citrix observa que algumas implantações usando variáveis do NetScaler podem encontrar um problema de loop de reinicialização durante a atualização para a versão 13.1-64.23 e aconselha o planejamento para 13.1-64.24 quando aplicável.
Para a CVE-2026-88771, não há pré-requisito de configuração que os administradores possam simplesmente desativar. A vulnerabilidade afeta configurações padrão, portanto, reduzir a exposição não substitui a instalação da atualização do fornecedor.
A principal mitigação para CVE-2026-88772 também é atualizar para uma versão corrigida. Os administradores podem, adicionalmente, determinar se a condição vulnerável do DTLS existe e, onde operacionalmente apropriado, desativar explicitamente o DTLS em servidores virtuais VPN até que o patching esteja completo. Isso deve ser visto apenas como redução de exposição para essa CVE, não como um substituto para a atualização do dispositivo.
Como a exploração já ocorreu, os defensores devem abordar a remediação como um exercício combinado de correção e resposta a incidentes.
Detecção da CVE-2026-88771 deve começar identificando cada dispositivo NetScaler ADC e Gateway gerenciado pelo cliente, determinando sua versão em execução exata e estabelecendo se estava acessível pela internet antes da remediação.
Para a segunda falha, as equipes de segurança devem inspecionar a configuração em execução para servidores virtuais VPN ou outros servidores virtuais com DTLS habilitado.
To Detectar exploração ou atividade suspeita da CVE-2026-88772 relacionadas a qualquer um dos zero-day, os defensores devem investigar:
- Comandos ou processos inesperados em dispositivos NetScaler
- Arquivos recém-criados ou modificados sem explicação administrativa legítima
- Alterações de configuração inexplicadas
- Novas ou modificadas configurações de autenticação
- Conexões de saída anormais do dispositivo
- Conexões inesperadas do NetScaler para servidores internos
- Quedas de dispositivo ou reinicializações inexplicadas
- Carimbos de data/hora mostrando mudanças não autorizadas durante períodos de acesso externo suspeito
- Novos mecanismos de persistência ou arquivos acessíveis via web
- Atividade de autenticação incomum associada ao dispositivo
- Diferenças entre registros de dispositivos locais e telemetria de rede ou SIEM armazenados externamente
Esses comportamentos são pistas de investigação, em vez de assinaturas exclusivas para as vulnerabilidades.
As organizações devem executar a varredura de IOC disponível da Citrix através do Console do NetScaler, mas não devem parar por aí. A Citrix alerta que uma varredura limpa não pode provar conclusivamente que a exploração não ocorreu.
O encaminhamento de registros de dispositivos para um SIEM externo é particularmente valioso. Um atacante com execução de código em um dispositivo de borda pode ser capaz de alterar ou remover evidências locais, enquanto registros de firewall, autenticação, DNS, NetFlow, proxy e SIEM armazenados externamente permanecem fora do sistema comprometido.
A CISA também enfatizou a triagem forense como parte de sua orientação de remediação para as duas vulnerabilidades.
Se comprometer o sistema é suspeito, as ações de resposta recomendadas incluem:
- Preservar evidências da instância afetada do NetScaler
- Isolar o dispositivo
- Revogar credenciais e acessos afetados
- Investigar sistemas com os quais o dispositivo comunicou-se
- Reconstruir o dispositivo comprometido
- Atualizar para uma versão de firmware corrigida
- Rotacionar senhas de contas locais
- Rotacionar Chaves de Criptografia de Chave onde apropriado
- Substituir certificados SSL restaurados se reconstruindo a partir de um backup conhecido como bom
- Reforçar o dispositivo reconstruído de acordo com a orientação de segurança da Citrix
Corrigir um dispositivo anteriormente comprometido não elimina persistências, shells web, credenciais roubadas ou outros artefatos de invasores que possam já existir.
As organizações devem, portanto, tratar qualquer dispositivo voltado para a internet vulnerável que esteve exposto durante o período conhecido de exploração como requerendo investigação retrospectiva.
FAQ
O que são CVE-2026-88771 e CVE-2026-88772 e como funcionam?
A CVE-2026-88771 é uma vulnerabilidade de validação de entrada inadequada no NetScaler ADC e Gateway que permite que um atacante remoto não autenticado execute comandos arbitrários. A CVE-2026-88772 é um estouro de memória que afeta implantações com DTLS habilitado e pode causar execução remota de código ou negação de serviço. O DTLS é habilitado por padrão em servidores virtuais VPN do NetScaler.
Quando a CVE-2026-88771 e a CVE-2026-88772 foram descobertas pela primeira vez?
A Citrix não divulgou publicamente as datas de descoberta originais exatas. Relatos de zero-days explorados de RCE do NetScaler surgiram imediatamente antes do aviso do fornecedor, e a Citrix divulgou formalmente ambas as vulnerabilidades em 27 de setembro de 2026 no boletim CTX697096. A CISA as adicionou ao catálogo KEV no mesmo dia.
Qual é o impacto do CVE-2026-88771 e CVE-2026-88772 nos sistemas?
Ambas as vulnerabilidades podem permitir execução remota de código não autenticada em dispositivos NetScaler afetados. A CVE-2026-88772 também pode causar negação de serviço. A violação bem-sucedida de um gateway de borda pode expor configuração sensível, material de autenticação e sistemas conectados, proporcionando aos invasores um ponto de apoio para mais intrusões.
A CVE-2026-88771 e a CVE-2026-88772 ainda podem me afetar em 2026?
Sim. Sistemas NetScaler ADC e Gateway executando versões anteriores à 14.1-73.37 ou 13.1-64.23 permanecem vulneráveis, juntamente com as respectivas versões afetadas de FIPS e NDcPP. Ambas as vulnerabilidades já estão sendo exploradas globalmente e estão listadas no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA.
Como posso me proteger da CVE-2026-88771 e CVE-2026-88772?
Atualize imediatamente para a versão apropriada corrigida do NetScaler. Verifique a exposição do DTLS, execute as verificações de comprometimento da Citrix, preserve logs e evidências forenses, e investigue dispositivos que estiveram expostos antes da atualização. Se o comprometimento for suspeito, isole e reconstrua o dispositivo, rotacione credenciais e material de criptografia, e investigue sistemas que eram acessíveis a partir do dispositivo NetScaler comprometido.
