Citrix NetScaler ADC e Citrix NetScaler Gateway · Código de ataque público

PoC pública de HTTP smuggling no Citrix NetScaler ADC e Gateway

02 de nov. de 2026 · 1 min de leitura

Falha de interpretação inconsistente de requisições HTTP (HTTP request smuggling) no Citrix NetScaler ADC e no NetScaler Gateway, CVE-2026-88773, ganhou prova de conceito pública. São afetados builds do ADC anteriores a 14.1-73.37 e a 13.1-64.23, incluindo FIPS e NDcPP, e do Gateway anteriores a 14.1-73.37 FIPS e a 13.1-64.23. Administradores devem atualizar para as builds corrigidas.

Por Redação HIFY Radar Atualizado 02/11/2026 04:58 Receba isso todo dia →← Voltar ao feed 1 fonte

AltaFalhaCódigo de ataque públicoCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma prova de conceito pública foi divulgada para a falha CVE-2026-88773 no Citrix NetScaler ADC e no NetScaler Gateway. O defeito faz o equipamento interpretar requisições HTTP de forma inconsistente entre sistemas (HTTP request smuggling). Versões antigas dos dois produtos são afetadas.

Por que importa

ADC e Gateway ficam na fronteira da rede, tratando tráfego web e acesso remoto. Esse tipo de falha pode desviar requisições entre cliente e servidor, com risco de acesso indevido a dados e sessões de usuários. Com a PoC pública, o risco cresce para quem ainda não atualizou.

O que fazer

Atualizar o NetScaler ADC para 14.1-73.37, 13.1-64.23 ou builds posteriores, incluindo FIPS e NDcPP, e o Gateway conforme a lista da Citrix. Confirmar hoje a versão em produção.

Para o time técnico

CVE: CVE-2026-88773
Afetados: Citrix NetScaler ADC e Citrix NetScaler Gateway · ADC: antes de 14.1-73.37, antes de 13.1-64.23, antes de 14.1-73.37 FIPS, antes de 13.1-37.279 e NDcPP. Gateway: antes de 14.1-73.37 FIPS e antes de 13.1-64.23.
Exploração: PoC/exploit público, divulgado pelo @ptdbugs (dbugs). A fonte não cita exploração em produção nem presença no KEV.
Correção: Atualizar para 14.1-73.37 ou 13.1-64.23 e equivalentes FIPS (14.1-73.37 FIPS). A fonte não cita mitigações alternativas.
Vetor: NetScaler ADC e NetScaler Gateway. Falha de interpretação inconsistente de requisições HTTP (HTTP request/response smuggling). Equipamentos que processam tráfego HTTP; condição específica de exploração não detalhada na fonte.
Mais detalhes: Identificadores: CVE-2026-88773 e PT ID PT-2026-99552. Divulgação via dbugs (@ptdbugs). A fonte não traz cadeia de ataque, descobridor, pontuação CVSS nem datas.