A CISA alertou para uma campanha de exploração contra vulnerabilidades críticas do Citrix NetScaler ADC e Citrix NetScaler Gateway. O conjunto inclui falhas zero-day com execução remota de código, negação de serviço e outros impactos. Entre elas, a CVE-2026-88771 pode permitir que um atacante não autenticado execute comandos arbitrários, enquanto a CVE-2026-107406 pode levar a execução remota de código ou negação de serviço em determinadas configurações SAML.
As vulnerabilidades são especialmente relevantes porque o NetScaler costuma atuar na borda da rede, fornecendo VPN, proxy de acesso, balanceamento e autenticação. Um appliance comprometido pode oferecer ao invasor um ponto privilegiado para interceptar tráfego, manter acesso e alcançar serviços internos.
O que a CISA confirmou
Em seu alerta atualizado em 9 de outubro de 2026, a CISA informou que recebeu relatórios e inteligência de parceiros confirmando exploração ativa global das CVEs-2026-88771 e CVE-2026-88772. A CVE-2026-88779 também foi incluída no catálogo KEV em 4 de outubro.
A CISA descreve a CVE-2026-88771 e a CVE-2026-88772 como falhas zero-day críticas que podem permitir execução remota de código de forma independente. O alerta também explica que a CVE-2026-88779 pode forçar reinicializações em instalações SAML e acelerar condições para execução de código previamente injetado por meio da CVE-2026-88771.
A própria Citrix informou que explorações das CVEs-2026-88771 e CVE-2026-88772 foram observadas em implantações NetScaler sem correção. Por isso, a atualização deve ser acompanhada por avaliação de comprometimento, e não apenas por uma troca de versão.
As principais vulnerabilidades
CVE-2026-88771 — execução remota de comandos
É uma falha de validação inadequada de entrada que pode permitir a um atacante não autenticado executar comandos arbitrários. A Citrix atribuiu CVSS v4.0 de 9,5. A condição prévia é ampla: todas as implantações NetScaler ADC e NetScaler Gateway são afetadas, inclusive com a configuração padrão e sem a necessidade de habilitar uma funcionalidade adicional.
CVE-2026-88772 — overflow de memória
Esta vulnerabilidade pode levar a execução remota de código ou negação de serviço quando o DTLS está habilitado. A Citrix destaca que o DTLS fica habilitado por padrão em um VPN virtual server, o que torna importante verificar explicitamente a configuração de cada appliance. A falha também recebeu CVSS v4.0 de 9,5.
CVE-2026-88779 — negação de serviço em SAML
A CVE-2026-88779 é um overflow de memória que pode causar negação de serviço quando o NetScaler está configurado como provedor de serviço ou de identidade SAML. A Citrix atribuiu CVSS v4.0 de 8,7. Em appliances sem correção, a CISA alerta que a falha pode ser usada para forçar uma reinicialização e favorecer a exploração de código injetado por outra vulnerabilidade.
CVE-2026-107406 — RCE ou DoS em SAML
A CVE-2026-107406 é um overflow de memória que pode levar a execução remota de código ou negação de serviço em appliances configurados como SAML SP ou SAML IdP. A Citrix atribuiu CVSS v4.0 de 9,5. O impacto depende da versão e da configuração SAML, por isso a verificação deve considerar tanto o build quanto os perfis de autenticação.
Versões corrigidas
Para as CVEs-2026-88771 a 2026-88778, a Citrix informa que as seguintes versões suportadas corrigem o conjunto:
- NetScaler ADC e NetScaler Gateway 14.1-73.37 ou posterior;
- NetScaler ADC e NetScaler Gateway 13.1-64.23 ou posterior;
- NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS ou posterior;
- NetScaler ADC 13.1-FIPS e 13.1-NDcPP 13.1-37.279 ou posterior.
Para a CVE-2026-88779, a Citrix indica como corrigidos:
- NetScaler ADC e NetScaler Gateway 14.1-73.41 ou posterior;
- NetScaler ADC e NetScaler Gateway 13.1-64.28 ou posterior;
- NetScaler ADC 14.1-FIPS 14.1-73.41 FIPS ou posterior;
- NetScaler ADC 13.1-FIPS e 13.1-NDcPP 13.1-37.282 ou posterior.
Para a CVE-2026-107406, a correção exige versões ainda mais recentes:
- NetScaler ADC e NetScaler Gateway 14.1-73.46 ou posterior;
- NetScaler ADC e NetScaler Gateway 13.1-64.29 ou posterior;
- NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS ou posterior;
- NetScaler ADC 13.1-FIPS e 13.1-NDcPP 13.1-37.283 ou posterior.
As versões e os builds devem ser confirmados no boletim atualizado da Citrix antes da manutenção. Implantações de Secure Private Access Hybrid que utilizam instâncias NetScaler também precisam ser avaliadas. Os serviços gerenciados pela Citrix recebem as atualizações pelo fornecedor, mas clientes devem confirmar a situação quando houver componentes sob sua responsabilidade.
Como identificar se o appliance está exposto
A CVE-2026-88771 afeta a configuração padrão, portanto não depende de uma funcionalidade especial. Para a CVE-2026-88772, revise se há VPN virtual servers ou outros virtual servers com DTLS habilitado. Em VPN, o DTLS pode estar ativo quando não há uma configuração explícita desabilitando-o.
Para as vulnerabilidades relacionadas a SAML, procure ações ou perfis que indiquem que o appliance atua como provedor de serviço ou de identidade. A documentação da Citrix cita, entre outros, comandos associados a add authentication samlAction e add authentication samlIdPProfile.
Não limite o inventário à interface de gerenciamento. Inclua appliances que publicam VPN, ICA Proxy, CVPN, RDP Proxy, autenticação ou balanceamento, além de nós de contingência e ambientes híbridos.
O que fazer imediatamente
1. Faça o inventário e priorize a borda. Identifique todos os appliances NetScaler, o build, as funções habilitadas, os endereços públicos e a existência de VPN ou SAML. Comece pelos equipamentos acessíveis pela internet.
2. Preserve evidências antes do patch. A CISA recomenda verificar sinais de comprometimento antes da atualização, porque o processo de atualização pode reduzir a visibilidade forense. Exporte logs para um SIEM ou armazenamento central, já que os logs locais podem rotacionar rapidamente.
3. Atualize para o build mais recente aplicável. Aplique a versão que cobre o conjunto de vulnerabilidades relevante ao seu ambiente. Não pare em um build que corrige apenas as primeiras CVEs se o appliance também se enquadra nas condições da CVE-2026-107406 ou da CVE-2026-88779.
4. Restrinja temporariamente a exposição. Se a manutenção não puder ser feita imediatamente, limite as interfaces de administração a redes confiáveis, avalie a exposição de VPN e reduza acessos externos desnecessários. Essas medidas não substituem o patch.
Como investigar possível comprometimento
Revise logs do NetScaler, autenticação, VPN, WAF, firewall, proxy e balanceadores. Procure comandos incomuns, alterações de configuração, criação de contas, mudanças em políticas de autenticação, reinicializações inesperadas e sessões administrativas fora do padrão.
Use os indicadores e as ferramentas de detecção disponibilizados pela Citrix e a regra SIGMA indicada pela CISA. Correlacione eventos com o período em que o appliance esteve sem correção e procure sinais de código ou arquivos modificados.
Se houver suspeita de comprometimento, preserve uma cópia forense e restaure o appliance a partir de um backup seguro anterior ao incidente. Depois, altere todas as credenciais restauradas, incluindo senhas de contas locais, chaves de criptografia, certificados SSL e segredos usados por integrações.
Conclusão
As falhas do Citrix NetScaler exigem uma resposta prioritária porque atingem equipamentos de borda, incluem execução remota de código sem autenticação e têm exploração confirmada. A simples atualização sem investigação pode deixar passar uma intrusão já realizada.
Administradores devem identificar os appliances, exportar logs, verificar os indicadores, atualizar para os builds corrigidos e rotacionar segredos quando houver indícios de comprometimento. A atenção deve incluir VPN, DTLS, SAML, Secure Private Access Hybrid e nós de contingência.
Fontes primárias
CISA: Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway.
Citrix: Security Bulletin for CVE-2026-88771 through CVE-2026-88778.
Citrix: Security Bulletin for CVE-2026-88779.
