O aviso da CISA
Em 26 de agosto de 2026, a CISA adicionou seis vulnerabilidades ao catálogo KEV. Entre elas está a CVE-2026-8452 no Citrix NetScaler ADC e Gateway: restrição inadequada de operações dentro dos limites de um buffer de memória, com CVSS 9.8.
Velocidade da exploração
Segundo o CVEDaily, a falha ficou pública por cerca de 57 dias antes de entrar no KEV — bem abaixo da mediana histórica da Citrix (~183 dias). O prazo federal sob a BOD foi 29 de agosto de 2026, só 3 dias após a listagem. Não havia uso conhecido em ransomware naquele momento, mas NetScaler internet-facing continua alvo frequente.
O que fazer
Aplique o patch da Citrix imediatamente em ADC/Gateway expostos, revise logs de acesso e trate qualquer appliance sem atualização como prioridade de incidente. Em agosto a Citrix voltou ao centro do radar de exploração.