Citrix corrige duas falhas zero-day exploradas no NetScaler; veja como agir

Em 28 de setembro, já não procede dizer que as duas falhas zero-day do NetScaler seguem sem correção. A Citrix confirmou a exploração de CVE-2026-88771 e CVE-2026-88772 e lançou atualizações de segurança em 27 de setembro. Administradores devem instalar a versão corrigida adequada à edição do appliance e, quando possível, preservar evidências e investigar o período anterior ao patch. 33350

Versões corrigidas do NetScaler

Para implantações padrão do NetScaler ADC e do NetScaler Gateway, a Citrix indica as versões 14.1-73.37 ou posterior e 13.1-64.23 ou posterior como corrigidas. As edições FIPS e NDcPP têm requisitos específicos: o boletim lista 14.1-73.37 FIPS ou posterior e 13.1.37.279 ou posterior para 13.1-FIPS e 13.1-NDcPP. Confira o boletim da Citrix para identificar a versão correspondente ao seu appliance; não presuma que a versão padrão se aplica a todas as edições. 3

Para quem usa a linha 13.1, o novo alvo corrigido é 13.1-64.23 ou posterior. Uma versão que corrigiu uma vulnerabilidade anterior do NetScaler pode ainda não incluir estas correções. 34

Estas falhas não são a CVE-2026-19490

A CVE-2026-19490 é um problema separado. A Citrix a descreve como uma falha de autenticação que permite contornar o processo por uma rota alternativa, sujeita a requisitos específicos de configuração de Gateway ou de servidor virtual AAA. As versões corrigidas para essa falha incluem 14.1-73.32 e 13.1-63.21 — números inferiores aos requisitos para corrigir as duas novas falhas de execução remota de código (RCE). Portanto, ter atualizado o appliance para corrigir a CVE-2026-19490 não significa que ele esteja protegido contra a CVE-2026-88771 e a CVE-2026-88772. 420

As informações disponíveis identificam a CVE-2026-88771 como uma falha de validação inadequada de entrada que pode permitir que um invasor não autenticado execute comandos. As duas CVEs são descritas como vulnerabilidades de execução remota de código, mas os relatos disponíveis não trazem detalhes suficientes para comparar com segurança como cada uma é explorada. 335054

Pondere a interrupção do serviço e o risco de exposição

Desligar um appliance NetScaler pode interromper o acesso remoto ou os aplicativos que ele disponibiliza. Por outro lado, manter exposto um sistema vulnerável enquanto se adia uma atualização já disponível traz outro risco: a Citrix confirmou a exploração das duas falhas em implantações que não haviam sido mitigadas. A prioridade é instalar a versão corrigida correta. Se isso não puder ser feito rapidamente, considere restringir o acesso externo ou retirar o appliance de serviço, avaliando o impacto operacional. 350

Atenção especial à linha 13.1: não considere suficiente ter aplicado a correção anterior da CVE-2026-19490. Confirme a versão e a edição exatas do appliance com base no boletim atualizado da Citrix. 320

Preserve evidências e investigue antes de atualizar, quando possível

A atualização corrige as vulnerabilidades, mas não revela se alguém acessou o appliance antes da instalação do patch. Quando isso for viável sem comprometer a operação, preserve registros, configurações e outras evidências forenses disponíveis antes de reiniciar ou atualizar o sistema — ações que podem alterar essas informações. Depois, investigue o período anterior à correção em busca de acessos ou mudanças suspeitas e envolva uma equipe de resposta a incidentes se houver indícios de comprometimento. A atualização da watchTowr também recomenda preservar evidências, verificar se houve invasão e, em seguida, instalar as versões corrigidas. 33

A Citrix confirmou a exploração, mas os relatos disponíveis não informam quantas organizações foram afetadas, quem estaria por trás dos ataques ou quando eles começaram. Essas questões seguem em aberto: não presuma que o sistema está limpo nem que o alcance do incidente é conhecido apenas porque o patch foi aplicado. 49