O que aconteceu
Em 27 de setembro de 2026, a Citrix publicou o boletim CTX697096, com oito vulnerabilidades no NetScaler ADC e no NetScaler Gateway (CVE-2026-88771 a CVE-2026-88778). Duas delas, CVE-2026-88771 e CVE-2026-88772, já estavam sendo exploradas como zero-days, e a CISA as incluiu no catálogo KEV no mesmo dia. Segundo a CISA, ambas são críticas e permitem, cada uma sozinha, execução remota de código, com exploração confirmada "globalmente".
Detalhes técnicos relatados
De acordo com análise da Threadlinqs, que cita o Google Threat Intelligence Group e a Mandiant:
- CVE-2026-88772: estouro de heap pré-autenticação no tratamento de DTLS do NSPPE (UDP/443), levando a execução de código como root.
- CVE-2026-88771: validação de entrada inadequada (CWE-20) em um script de processamento de logs, que concatena nomes vindos dos logs em comandos de shell.
- Após a invasão, foram observados persistência via configuração do Apache, o web shell WHIPSHOT e o túnel SLAPSHOT.
- A exploração ocorre pelo menos desde o início de setembro (a GovInfoSecurity fala em atividade desde agosto).
Ambas têm pontuação CVSS 4.0 de 9,5.
Versões corrigidas
Atualize para 14.1-73.37 ou superior, ou 13.1-64.23 ou superior. Atenção: em outubro surgiram novas falhas (CVE-2026-88779 e CVE-2026-107406) que exigem builds ainda mais recentes; trataremos delas em outro artigo.
O que fazer agora
- Inventarie todo NetScaler exposto à internet e confirme o build.
- Como a exploração antecede o patch, procure sinais de comprometimento (web shells, contas novas, alterações no Apache) mesmo após atualizar.
- Siga as orientações da Citrix para casos suspeitos e, se houver indícios, trate como incidente.