Citrix confirma duas falhas críticas de RCE em NetScaler exploradas em ataques

Citrix confirmou que duas vulnerabilidades críticas de execução remota de código em seus dispositivos NetScaler ADC e NetScaler Gateway, identificadas como CVE-2026-88771 e CVE-2026-88772, estão sendo exploradas em ataques ativos. As falhas foram divulgadas após alertas privados enviados por pesquisadores de segurança, provedores de TI e agências nacionais de cibersegurança ao longo do fim de semana anterior. Os alertas pediam que organizações desligassem temporariamente os aparelhos NetScaler até que patches estivessem disponíveis.

Os dispositivos NetScaler são alvos valiosos porque funcionam como pontos de entrada na rede corporativa, oferecendo acesso remoto e serviços de entrega de aplicativos. Comprometer um desses aparelhos pode permitir que atacantes ganhem acesso à rede interna sem precisar invadir um endpoint interno.

A primeira evidência do incidente surgiu quando administradores de TI relataram em fóruns que fornecedores de segurança estavam contatando empresas para recomendar a interrupção imediata dos serviços NetScaler. Um administrador descreveu receber uma chamada urgente de seu fornecedor de segurança, sem detalhes, mas com orientação para desligar os NetScalers imediatamente.

Agências como o NCSC da Holanda enviaram notificações antecipadas aos organizações nacionais alertando sobre duas falhas de zero-day que poderiam levar à execução remota de código. A notificação, divulgada antes da divulgação oficial da Citrix, mencionava que uma das vulnerabilidades permitia inserir shellcode diretamente na memória, enquanto detalhes da segunda ainda estavam sendo investigados.

Em resposta, a Citrix publicou o boletim de segurança CTX697096, confirmando a exploração ativa das vulnerabilidades e disponibilizando patches para as versões afetadas. O boletim indica que ambas as falhas têm severidade de 9,5 e afetam todas as instalações de NetScaler ADC e NetScaler Gateway, inclusive as com configuração padrão.

CVE-2026-88771 resulta de validação inadequada de entradas e permite que atacantes não autenticados executem comandos arbitrários. CVE-2026-88772 é uma overflow de memória que pode levar à execução remota de código ou a negação de serviço, especialmente quando o DTLS está habilitado, o que ocorre por padrão em servidores virtuais de VPN.

Além das duas falhas críticas, o boletim corrige mais seis vulnerabilidades no NetScaler, totalizando oito correções lançadas nesta atualização. A Citrix ressaltou que os patches são destinados a implantações gerenciadas pelos clientes, enquanto os serviços gerenciados pela Cloud Software Group já estão sendo atualizados.

A agência de segurança holandesa NCSC-NL confirmou ter enviado a notificação prévia, mas recusou confirmar detalhes a terceiros fora de sua jurisdição. A agência afirmou que seu papel é monitorar ameaças e fornecer orientação às organizações holandesas, orientando-as a preparar-se para a aplicação rápida dos patches assim que disponíveis.