NetScaler ADC/Gateway: RCE crítico (CVSS 9.5) sob ataque
A Citrix corrigiu oito vulnerabilidades no NetScaler ADC e no NetScaler Gateway, duas delas classificadas com CVSS 9.5 e já sob exploração ativa e global segundo a própria fabricante e a CISA. As falhas mais graves permitem execução remota de código sem autenticação — quem administra um NetScaler em produção precisa decidir hoje entre aplicar o patch ou isolar o equipamento.
O que aconteceu
No boletim CTX697096, publicado em 27 de setembro, a Citrix detalhou oito CVEs no NetScaler ADC e Gateway:
- CVE-2026-88771 (CVSS 9.5) — validação de entrada inadequada que permite a um atacante não autenticado executar comandos arbitrários. Afeta todas as implantações em configuração padrão.
- CVE-2026-88772 (CVSS 9.5) — estouro de memória que leva a execução remota de código ou negação de serviço, em equipamentos com DTLS habilitado — configuração padrão em servidores virtuais de VPN.
- CVE-2026-88773 (CVSS 9.3) — contrabando de requisições HTTP (HTTP request smuggling).
- CVE-2026-88774 (CVSS 7.0) — desvio de política via expressões de URL HTTP.
- CVE-2026-88775, CVE-2026-88776 e CVE-2026-88777 (CVSS 8.8) — estouros de memória com efeitos que vão de comportamento imprevisível a negação de serviço, incluindo cenários com balanceamento Oracle LB e protocolos L7 não-HTTP.
- CVE-2026-88778 (CVSS 8.8) — previsão do número de sequência TCP (ISN), que pode ser explorada para sequestro de sessão.
A Citrix confirma no próprio boletim: “exploits de CVE-2026-88771 e CVE-2026-88772 em implantações NetScaler não mitigadas foram observados”. A CISA incluiu as duas falhas no catálogo KEV e fixou 30 de setembro como prazo para as agências federais dos EUA aplicarem a correção — um prazo administrativo que não muda a urgência para qualquer outro operador, já que a exploração já está em andamento no mundo todo.
Quem é afetado
Estão vulneráveis as versões anteriores a:
- NetScaler ADC e Gateway 14.1, build anterior a 14.1-73.37;
- NetScaler ADC e Gateway 13.1, build anterior a 13.1-64.23;
- NetScaler ADC 14.1-FIPS, build anterior a 14.1-73.37 FIPS;
- NetScaler ADC 13.1-FIPS e 13.1-NDcPP, build anterior a 13.1-37.279.
Não há distinção de edição — Standard, Advanced e Premium são afetadas igualmente, tanto em appliance físico quanto em VPX.
O que fazer agora
- Verifique a build instalada no NetScaler (
show version, via CLI, ou no GUI em System > Overview) e compare com as versões corrigidas acima. - Se estiver desatualizado, aplique a build corrigida imediatamente — não há workaround publicado para CVE-2026-88771 e CVE-2026-88772, as duas exploradas ativamente. Postergar o patch mantém o equipamento exposto a RCE não autenticado.
- Para CVE-2026-88778 (previsão de ISN), caso o patch não possa ser aplicado no mesmo dia, ative “Enhanced ISN Generation” na configuração TCP do NetScaler como mitigação temporária — ela não cobre as demais falhas.
- Depois de atualizar, gire senhas de contas locais e chaves de criptografia, e substitua certificados SSL se o equipamento tiver sido restaurado a partir de um backup anterior ao patch.
- Se houver indício de comprometimento anterior à correção, trate o equipamento como violado: preserve evidências, isole-o da rede, revogue credenciais e acessos associados, e reinstale o firmware a partir de uma imagem limpa em vez de apenas atualizar.
Perguntas frequentes
Quais CVEs estão sob exploração ativa confirmada?
CVE-2026-88771 e CVE-2026-88772, ambas CVSS 9.5. As outras seis foram corrigidas no mesmo boletim, mas sem exploração confirmada até a publicação.
Existe workaround para quem não pode atualizar hoje?
Não para as duas falhas críticas — o único caminho é a atualização. Só a CVE-2026-88778 tem mitigação temporária (Enhanced ISN Generation).
O prazo de 30 de setembro da CISA vale para mim?
Formalmente é uma diretiva para agências federais dos EUA. Na prática, qualquer operador com NetScaler exposto à internet deve tratar o patch com a mesma urgência, dado que a exploração já é global.
Como saber se meu NetScaler já foi comprometido?
A Citrix não publicou indicadores de comprometimento específicos. Sem IoCs confirmados, a orientação é revisar logs de acesso incomuns e, em caso de dúvida, tratar o equipamento como potencialmente violado e seguir o roteiro de reinstalação de firmware.
Isso é a mesma falha do NetScaler noticiada em agosto?
Não. A falha de agosto era outro CVE (CVE-2026-8452); este boletim de setembro traz oito CVEs novos, incluindo as duas com exploração confirmada.
Conclusão
Com exploração ativa confirmada pela própria Citrix e sem workaround para as falhas mais graves, o NetScaler ADC e Gateway desatualizados são hoje um dos alvos mais expostos em produção. Confirme a build, aplique 14.1-73.37 ou 13.1-64.23 (ou os equivalentes FIPS) e, se o equipamento ficou exposto por dias com a falha aberta, trate a atualização como resposta a incidente, não como rotina.
