As vulnerabilidades zero-day no Citrix NetScaler CVE-2026-88771 e CVE-2026-88772 já estão sendo exploradas em ataques reais, segundo a própria Citrix. As duas falhas afetam o NetScaler ADC e o NetScaler Gateway, componentes frequentemente posicionados diretamente na borda das redes corporativas para oferecer acesso remoto, VPN, balanceamento de carga e publicação de aplicações.
O alerta é especialmente relevante porque as duas vulnerabilidades receberam CVSS 4.0 de 9,5, classificação crítica, e podem resultar em execução remota de código (RCE). A CVE-2026-88771 não exige recursos adicionais habilitados nem uma configuração específica, enquanto a CVE-2026-88772 está associada ao DTLS, habilitado por padrão em servidores virtuais VPN.
Antes da publicação oficial da Citrix, informações sobre a exploração já circulavam entre administradores, fornecedores de TI e equipes de segurança. O NCSC-NL, Centro Nacional de Segurança Cibernética dos Países Baixos, também teria realizado uma comunicação preventiva a organizações sobre o problema, enquanto pesquisadores da watchTowr relataram evidências de exploração durante investigações forenses.
As vulnerabilidades zero-day no Citrix NetScaler e seus impactos
As duas falhas apresentam características diferentes, mas têm um ponto em comum: estão presentes em equipamentos que normalmente ficam expostos à internet e desempenham funções estratégicas no perímetro da rede.
A CVE-2026-88771 é uma falha de validação inadequada de entrada, classificada como CWE-20. De acordo com a Citrix, um atacante não autenticado pode explorá-la para executar comandos arbitrários. O problema afeta implantações do NetScaler ADC e do NetScaler Gateway em configuração padrão, sem que seja necessário habilitar um recurso adicional.
Já a CVE-2026-88772 é descrita como uma vulnerabilidade de estouro de memória, capaz de levar à execução remota de código ou à negação de serviço (DoS). Nesse caso, o pré-requisito é que o DTLS esteja habilitado. A Citrix destaca que o protocolo fica habilitado por padrão em servidores virtuais de VPN, o que amplia a relevância da falha para ambientes que utilizam o NetScaler Gateway para acesso remoto.
Detalhes da vulnerabilidade CVE-2026-88771
A CVE-2026-88771 representa o cenário mais amplo entre as duas falhas porque, segundo a Citrix, todas as implantações do NetScaler ADC e NetScaler Gateway nas versões afetadas estão vulneráveis, inclusive aquelas utilizando a configuração padrão.
O problema está relacionado ao processamento e à validação de entradas fornecidas ao equipamento. Um invasor remoto não autenticado pode explorar a condição para executar comandos arbitrários no dispositivo.
Na prática, isso transforma um componente de rede exposto em um possível ponto de entrada para comprometimento da infraestrutura. Como o NetScaler costuma operar na frente de aplicações, serviços de autenticação e conexões VPN, uma exploração bem-sucedida pode representar uma etapa inicial de uma intrusão mais ampla.
O boletim da Citrix confirma que explorações da CVE-2026-88771 já foram observadas em implantações não corrigidas.
Detalhes da vulnerabilidade CVE-2026-88772
A CVE-2026-88772 envolve um estouro de memória associado ao processamento de DTLS. Dependendo da exploração, a falha pode permitir execução remota de código ou causar indisponibilidade do serviço.
O ponto de atenção para administradores está no funcionamento do NetScaler Gateway. A Citrix informa que o DTLS fica habilitado por padrão em servidores virtuais VPN, a menos que tenha sido explicitamente desativado.
Por isso, simplesmente verificar se a organização utiliza uma configuração personalizada não é suficiente. É necessário conferir efetivamente quais servidores virtuais possuem DTLS habilitado e considerar todos os dispositivos afetados como prioritários para atualização.
Como os ataques foram identificados e o alerta preventivo
Antes da divulgação dos CVEs, administradores do NetScaler começaram a relatar que fornecedores de tecnologia e equipes de segurança estavam entrando em contato para recomendar o desligamento preventivo dos appliances. O movimento ocorreu enquanto ainda não havia informações públicas detalhadas sobre as vulnerabilidades.
O NCSC-NL também teria distribuído uma pré-notificação a organizações dos Países Baixos, informando sobre duas vulnerabilidades críticas de dia zero. Segundo relatos publicados na época, o órgão recebeu informações de um CERT parceiro europeu e indicou que as falhas poderiam permitir execução remota de código.
A situação ganhou maior clareza quando a watchTowr informou que havia reagido a relatos de exploração de vulnerabilidades RCE no NetScaler e posteriormente afirmou que a exploração havia sido identificada durante investigações forenses.
A sequência é importante para entender a gravidade do incidente: os indícios de exploração surgiram antes da divulgação pública dos detalhes técnicos e antes de os administradores terem acesso às correções oficiais.
Versões afetadas e como proteger sua infraestrutura
A Citrix publicou as correções no boletim CTX697096. As versões afetadas e os respectivos builds corrigidos são:
A recomendação principal é atualizar imediatamente todos os appliances afetados. A Citrix afirma que explorações das duas vulnerabilidades foram observadas em ambientes sem correção e orienta os clientes a instalar as versões atualizadas o quanto antes.
Em ambientes que ainda não podem ser atualizados imediatamente, os administradores devem reduzir a exposição do equipamento à internet, restringir o acesso a endereços IP confiáveis e impedir que interfaces de gerenciamento permaneçam publicamente acessíveis. Essas medidas não substituem a instalação da correção.
Também é importante avaliar se houve comprometimento antes da atualização. Como as vulnerabilidades já estavam sendo exploradas, equipes de segurança devem considerar a possibilidade de execução de comandos, alterações de configuração ou persistência no appliance. A análise de logs, configurações e demais evidências deve fazer parte do processo de resposta.
Para a CVE-2026-88772, também é recomendável verificar quais servidores virtuais possuem DTLS habilitado. A própria Citrix fornece padrões de configuração para identificar ambientes que atendem ao pré-requisito da vulnerabilidade.
Conclusão e ações recomendadas
As vulnerabilidades zero-day no Citrix NetScaler representam um risco direto para organizações que utilizam ADC ou Gateway como parte da infraestrutura de acesso remoto e publicação de aplicações. O cenário combina execução remota de código, ausência de autenticação em uma das falhas, exposição de dispositivos de borda e exploração já observada.
A prioridade para administradores deve ser identificar todos os appliances afetados, confirmar suas versões, preservar evidências quando houver suspeita de comprometimento e aplicar os builds corrigidos da Citrix. Reduzir temporariamente a exposição à internet pode ajudar a diminuir o risco enquanto a atualização é preparada, mas não deve ser tratado como substituto do patch.
Em ambientes corporativos, o episódio também reforça a importância de manter inventário atualizado dos equipamentos de borda e estabelecer processos capazes de aplicar correções críticas rapidamente. Um dispositivo que concentra VPN, autenticação e acesso a aplicações internas não pode permanecer sem atualização quando existe exploração ativa.
Se sua organização utiliza Citrix NetScaler ADC ou NetScaler Gateway, este é um alerta que merece ser encaminhado imediatamente às equipes de infraestrutura, redes e segurança. Compartilhe este conteúdo com outros administradores e deixe nos comentários como sua equipe está conduzindo a atualização e a investigação dos dispositivos afetados.