Citrix corrige duas zero-day exploradas em ataques

A Citrix confirmou a exploração ativa de duas vulnerabilidades zero-day críticas no NetScaler ADC e NetScaler Gateway. As falhas, identificadas como CVE-2026-88771 e CVE-2026-88772, podem permitir execução remota de código (RCE) e já têm atualizações de segurança disponíveis.

Os equipamentos NetScaler são utilizados como dispositivos de perímetro expostos à Internet para fornecer acesso remoto e serviços de entrega de aplicações. A exploração destas vulnerabilidades pode, por isso, permitir aos atacantes estabelecer um ponto de entrada na rede de uma organização e procurar posteriormente acesso a sistemas internos.

A CVE-2026-88771 resulta de uma validação inadequada de dados e permite que um atacante não autenticado execute comandos arbitrários. A vulnerabilidade tem uma pontuação de severidade de 9,5 e, segundo a Citrix, afeta todas as implementações de NetScaler ADC e NetScaler Gateway, incluindo as que utilizam a configuração predefinida.

A segunda falha, CVE-2026-88772, é uma vulnerabilidade de overflow de memória que pode resultar em RCE ou numa condição de negação de serviço. Tem igualmente uma pontuação de 9,5 e pode ser explorada quando o protocolo DTLS está ativo. A Citrix indica que esta funcionalidade está ativa por defeito nos servidores virtuais VPN.

No boletim de segurança CTX697096, a fabricante confirmou ter observado exploits das duas vulnerabilidades em implementações NetScaler que ainda não tinham aplicado medidas de mitigação.

As versões afetadas incluem NetScaler ADC e NetScaler Gateway 14.1 anteriores à 14.1-73.37 e versões 13.1 anteriores à 13.1-64.23. São também afetadas determinadas versões NetScaler ADC FIPS e NDcPP, assim como implementações Secure Private Access Hybrid que utilizem instâncias NetScaler.

O boletim aplica-se aos equipamentos NetScaler ADC e NetScaler Gateway geridos pelos próprios clientes. Os serviços cloud geridos pela Citrix estão a ser atualizados pela Cloud Software Group. A mesma atualização corrige outras seis vulnerabilidades no NetScaler.

Antes da divulgação pública das falhas, organizações terão recebido alertas de fornecedores de IT, equipas de segurança e entidades nacionais de cibersegurança. O National Cyber Security Center dos Países Baixos (NCSC-NL) terá também enviado uma notificação prévia sobre duas vulnerabilidades críticas, embora não tenha confirmado publicamente o conteúdo desse aviso.

Segundo a informação divulgada, a exploração já tinha sido identificada em vários clientes da Citrix a nível mundial. Não existem, contudo, dados suficientes para determinar a dimensão global dos ataques.

Com as correções disponíveis, a Citrix recomenda a atualização das instalações afetadas para as versões corrigidas. Para organizações que não consigam atualizar imediatamente, a redução da exposição dos equipamentos à Internet pode limitar a superfície de ataque até à aplicação das correções.