Citrix · Exploração confirmada

CISA confirma exploração ativa de dez zero-days do Citrix NetScaler

26 de set. de 2026 · 1 min de leitura

Dez falhas críticas afetam o Citrix NetScaler ADC e o NetScaler Gateway, incluindo execução remota de código sem autenticação (CVE-2026-88771 e CVE-2026-88772). O CISA confirma exploração ativa global e mantém três CVEs no catálogo KEV; a CVE-2026-107406, em configurações SAML, exige 14.1-73.46+ ou 13.1-64.29+. Atualize priorizando sistemas expostos à internet e verifique comprometimento antes de atualizar.

Por Redação HIFY Radar Atualizado 26/10/2026 13:38 Receba isso todo dia →← Voltar ao feed 8 fontes

CríticaFalhaExploração confirmadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Dez falhas críticas afetam o Citrix NetScaler ADC e o NetScaler Gateway, equipamentos de acesso remoto e entrega de aplicações. Duas permitem execução remota de código sem senha (CVE-2026-88771 e CVE-2026-88772) e o CISA confirma exploração ativa global desde 27 de setembro de 2026. Uma falha posterior em configurações SAML (CVE-2026-107406) exige versões de correção mais recentes.

Por que importa

Segundo o Centro de Cibersegurança do Canadá, equipamento comprometido dá acesso total, roubo de credenciais e caminho para a rede interna. Sistemas expostos à internet são alvo imediato, e o CISA avisa que a atualização pode ser complexa e exigir parada. Corrigir sem verificar invasão anterior pode deixar atacantes instalados.

O que fazer

Atualize já para 14.1-73.46+ ou 13.1-64.29+ (FIPS: 14.1-73.46 FIPS; 13.1-FIPS/NDcPP: 13.1-37.283+), priorizando sistemas expostos à internet. Antes de atualizar, rode a ferramenta de IoCs do NetScaler Console e preserve evidências; se houver comprometimento, restaure backup confiável anterior à invasão e troque senhas, chaves e certificados.

Para o time técnico

CVE: CVE-2026-88771, CVE-2026-88772, CVE-2026-88773, CVE-2026-88774, CVE-2026-88775, CVE-2026-88776, CVE-2026-88777, CVE-2026-88778, CVE-2026-107406, CVE-2026-88779
Afetados: Citrix (Cloud Software Group) Citrix NetScaler ADC e NetScaler Gateway · ADC e Gateway 14.1 antes de 14.1-73.37; 13.1 antes de 13.1-64.23; ADC 14.1-FIPS antes de 14.1-73.37 FIPS; ADC 13.1-FIPS e NDcPP antes de 13.1-37.279. CVE-2026-107406: SAML SP/IdP antes de 14.1-73.37 e 13.1-64.23; entre 14.1-73.37 e 14.1-73.41 e entre 13.1-64.23 e 13.1-64.28 (e equivalentes FIPS) apenas como SAML IdP. Secure Private Access Hybrid com instâncias NetScaler também é afetado.
Exploração: CISA: CVE-2026-88771 e CVE-2026-88772 no KEV em 27/09/2026, zero-days com exploração ativa global confirmada por relatos e inteligência de parceiros; CVE-2026-88779 no KEV em 04/10/2026. Centro de Cibersegurança do Canadá: exploração observada em múltiplos ambientes de clientes no mundo, extensão total desconhecida.
Correção: 14.1-73.46+ ou 13.1-64.29+ (cobrem CVE-2026-107406); 14.1-73.37 e 13.1-64.23 corrigem o CTX697096 (88771 a 88778), mas não a 107406; 14.1-73.46 FIPS; 13.1-FIPS/NDcPP 13.1-37.283+. Canadá: atualizações de 88771/88772 não corrigem o problema SAML divulgado em 02/10/2026 nem a 107406.
Vetor: NetScaler ADC e Gateway. CVE-2026-88771: validação incorreta de entrada (CWE-20), código arbitrário por atacante remoto sem autenticação. CVE-2026-88772: buffer overflow (CWE-119), execução de código, corrupção de memória e DoS. CVE-2026-88779: DoS em implantações SAML SP/IdP; sem correção, pode forçar reboot e acelerar execução de código injetado via CVE-2026-88771 (CISA). CVE-2026-107406: memory overflow (CWE-119, CVSS v4.0 9.5) com RCE ou DoS, exige appliance configurado como SAML SP ou IdP.
Mais detalhes: CVE-2026-107406 creditada a Joshua Foote, Michael Tucker e Eugene Lim (XOR Team, JPMorgan Chase). Checagem de configuração SAML: 'add authentication samlAction' (SP) ou 'add authentication samlIdPProfile' (IdP). Boletim vale para appliances geridos pelo cliente; serviços de nuvem Citrix-managed e Adaptive Authentication já atualizados pelo fabricante. CISA recomenda enviar logs a SIEM (logs locais rotacionam rápido), preservar evidências antes de atualizar, restaurar backup anterior ao comprometimento e trocar senhas locais, key-encryption keys e certificados SSL; publicou regras SIGMA no GitHub. Patch não remove persistência de sistemas já comprometidos (Canadá). Fontes citadas pelo boletim incluem análise Rapid7 de intrusões encadeando 88771 e 88779 e detecção Zscaler de tentativas coordenadas de exploração.