Falha crítica no NetScaler explorada em ataques

Uma vulnerabilidade crítica que afeta equipamentos NetScaler ADC e NetScaler Gateway está a ser explorada ativamente em ataques, levando a Cybersecurity and Infrastructure Security Agency (CISA) dos Estados Unidos a incluir a falha no catálogo de vulnerabilidades conhecidas como exploradas.

Identificada como CVE-2026-19490, a vulnerabilidade apresenta uma classificação CVSS de 9,3 e permite contornar mecanismos de autenticação. São afetados equipamentos configurados como gateway, incluindo SSL VPN, ICA Proxy, CVPN e RDP Proxy, ou como servidor virtual AAA.

A Citrix disponibilizou uma correção a 19 de agosto. Na altura, a Rapid7 alertou que a vulnerabilidade podia ser explorada remotamente sem necessidade de autenticação e antecipou que as características da falha e a utilização dos equipamentos NetScaler em ambientes empresariais poderiam torná-la rapidamente num alvo.

“As organizações devem dar prioridade à aplicação das correções nos sistemas afetados, em regime de emergência, uma vez que os produtos Citrix são alvos de elevado valor que tendem a ser rapidamente explorados”, afirmou a Rapid7.

A CISA adicionou a CVE-2026-19490 ao catálogo Known Exploited Vulnerabilities a 9 de setembro, confirmando assim que existem evidências de exploração da vulnerabilidade. As agências federais civis norte-americanas têm três dias para aplicar as medidas de mitigação previstas, de acordo com os requisitos da diretiva BOD 26-04.

A agência norte-americana não revelou detalhes sobre os ataques observados. No entanto, existem indícios de atividade maliciosa desde pelo menos 3 de setembro, um dia depois de ter sido publicado no GitHub um exploit dirigido à vulnerabilidade.

Ryan Dewhurst, fundador da Previdian e antigo responsável de threat intelligence da WatchTowr, tinha alertado anteriormente para sinais de exploração. Segundo o investigador, depois de surgir uma prova de conceito que considerou não verificada, mas credível, sensores da empresa receberam pedidos correspondentes à técnica de exploração provenientes de três endereços IP localizados em três países.

Os dados divulgados pela Previdian apontam, assim, para uma janela reduzida entre a disponibilização pública de código de exploração e o início da atividade maliciosa. A confirmação posterior da CISA reforça a necessidade de atualizar com prioridade os equipamentos NetScaler afetados, sobretudo quando estão expostos à internet.