Atualize o NetScaler para CVE-2026-88771 e CVE-2026-88772
A Citrix relata exploração observada de duas falhas críticas no NetScaler ADC e Gateway gerenciados pelo cliente. As condições de exposição são diferentes: CVE-2026-88771 afeta todas as implantações, inclusive as configurações padrão; CVE-2026-88772 exige DTLS habilitado.
| CVE | Problema confirmado | Condição de exposição | Severidade |
|---|---|---|---|
CVE-2026-88771 | Execução remota de código sem autenticação por validação inadequada de entrada (CWE-20) | Todas as implantações afetadas de ADC e Gateway, inclusive as padrão; nenhum recurso adicional é necessário | CVSS 4.0: 9,5 Crítica |
CVE-2026-88772 | Estouro de memória com potencial de execução remota de código ou negação de serviço (CWE-119) | DTLS habilitado; a Citrix informa que vem habilitado por padrão em servidores virtuais VPN | CVSS 4.0: 9,5 Crítica |
Versões afetadas e corrigidas do NetScaler
A Citrix lista estas linhas de produtos gerenciadas pelo cliente como afetadas nas versões anteriores às correções. Atualize para a versão indicada ou uma posterior na mesma linha suportada. Implantações Secure Private Access Hybrid que usam instâncias NetScaler também precisam atualizá-las. A Cloud Software Group atualiza os serviços em nuvem gerenciados pela Citrix.
| Linha do produto | Versões afetadas | Versão corrigida |
|---|---|---|
| ADC e Gateway 14.1 | Anterior a 14.1-73.37 | 14.1-73.37 ou posterior |
| ADC e Gateway 13.1 | Anterior a 13.1-64.23 | 13.1-64.23 ou posterior |
| ADC FIPS 14.1 | Anterior a 14.1-73.37 FIPS | 14.1-73.37 FIPS ou posterior |
| ADC FIPS / NDcPP 13.1 | Anterior a 13.1-37.279 | 13.1-37.279 ou posterior |
Verifique a exposição a DTLS para CVE-2026-88772
Não há exclusão baseada em configuração para CVE-2026-88771: a Citrix afirma que todas as implantações afetadas estão incluídas. Para CVE-2026-88772, revise a configuração ativa e identifique servidores virtuais com DTLS. Um servidor virtual VPN sem uma configuração explícita para desativar DTLS é considerado habilitado; outros servidores entram no escopo quando configurados com o tipo DTLS. Instale a atualização completa da Citrix mesmo se DTLS estiver desativado, pois isso não trata CVE-2026-88771 nem as outras falhas do boletim.
Lista de triagem e resposta
- Inventarie ADC, Gateway e instâncias NetScaler gerenciadas pelo cliente usadas no Secure Private Access Hybrid; registre a linha e a versão de cada uma.
- Priorize todas as versões afetadas: CVE-2026-88771 se aplica sem recurso especial ou configuração não padrão.
- Revise os servidores virtuais com DTLS para identificar a exposição adicional a CVE-2026-88772; use restrições de DTLS apenas como medida temporária quando os requisitos do serviço permitirem.
- Atualize para a versão corrigida aplicável e confirme a versão instalada em cada equipamento e par de alta disponibilidade.
- Como houve exploração observada, avalie os equipamentos quanto a comprometimento com as orientações atuais de Indicadores de Comprometimento da Citrix e as recomendações de investigação defensiva da Google Mandiant; atualizar não comprova que o equipamento esteja limpo.
- Se houver suspeita de comprometimento, siga o processo de resposta a incidentes e as orientações do suporte Citrix antes de recolocar o equipamento em serviço.
- Acompanhe CVE-2026-88779 separadamente: é uma falha distinta de negação de serviço condicionada por SAML e pode exigir uma versão posterior. Veja a análise dedicada da FlawOpen.