Citrix alerta para novo zero-day

A Citrix confirmou uma nova vulnerabilidade zero-day no NetScaler ADC e NetScaler Gateway, identificada como CVE-2026-88779, depois de administradores terem reportado reinícios inesperados em sistemas que já estavam atualizados.

A falha, classificada com severidade elevada, resulta de um overflow de memória e afeta instâncias NetScaler configuradas como Security Assertion Markup Language Service Provider (SAML SP) ou SAML Identity Provider (SAML IdP).

Segundo a Citrix, já foram observados ataques direcionados contra implementações que não tinham aplicado medidas de mitigação. A exploração pode provocar uma condição de negação de serviço (DoS) e, quando desencadeada repetidamente, manter os serviços indisponíveis.

A fabricante indica que a análise realizada até ao momento aponta para um impacto na disponibilidade dos serviços, sem evidências de comprometimento da integridade dos dados dos clientes.

Os ataques surgiram poucos dias depois da divulgação das vulnerabilidades CVE-2026-88771 e CVE-2026-88772, duas zero-day críticas no NetScaler que também estavam a ser exploradas. Alguns administradores que atualizaram os equipamentos para responder a essas falhas começaram posteriormente a reportar novos reinícios.

Embora tenham surgido indícios iniciais de que a CVE-2026-88779 poderia permitir execução remota de código, a WatchTowr reproduziu posteriormente a vulnerabilidade e concluiu que esta permite apenas provocar o crash dos sistemas.

Relatos de administradores indicaram ainda pedidos de autenticação que continham comandos shell no campo destinado ao nome de utilizador. Um script associado à atividade procuraria instalar web shells, obter persistência após reinícios e transferir configurações e backups dos equipamentos. Não foi, contudo, demonstrado que esse script tenha sido executado através da CVE-2026-88779.

A CISA adicionou a vulnerabilidade ao catálogo Known Exploited Vulnerabilities (KEV) a 4 de outubro. As agências federais norte-americanas têm até 7 de outubro para aplicar as medidas exigidas.

A CVE-2026-88779 é a sexta vulnerabilidade explorada no NetScaler adicionada pela CISA ao catálogo KEV em 2026, reforçando a pressão sobre as organizações para manterem estes equipamentos de perímetro atualizados e monitorizarem sinais de exploração.