CISA Alerta Urgente: Falhas Críticas em Produtos Citrix NetScaler Estão Sendo Exploradas Globalmente

A CISA soa o alarme sobre as falhas CVE-2026-88771 e CVE-2026-88772, que atingem os produtos Citrix NetScaler ADC e Gateway. Ambas as vulnerabilidades apresentam um CVSS de 9.5, um nível de risco crítico que as torna um alvo prioritário. A exploração global dessas falhas permite que um atacante não autenticado injete comandos arbitrários ou execute código remotamente, em cenários específicos.

A CVE-2026-88771, por exemplo, decorre de uma falha de validação de entrada, permitindo a injeção de comandos via um script Perl ('ns_monuploadd_err.pl') que processa logs. Isso acontece quando um invasor envia uma requisição pré-autenticação ao endpoint '/nf/auth/doAuthentication.do'. Já a CVE-2026-88772 afeta a restrição de operações em buffer de memória, especialmente quando a configuração DTLS está ativada, o que é padrão em servidores virtuais VPN. Palo Alto Networks Unit 42 identificou mais de 50 mil instâncias de Citrix NetScaler expostas publicamente e potencialmente vulneráveis até 27 de setembro de 2026. A GreyNoise, por sua vez, detectou tentativas de exploração desde 24 de setembro de 2026, com atacantes tentando obter acesso root e instalar webshells.

Em 21 de agosto de 2026, o CEVIU News publicou a notícia "Citrix Alerta para Falhas Críticas no NetScaler e Recomenda Atualização Urgente", informando sobre vulnerabilidades genéricas que poderiam levar a bypass de autenticação e negação de serviço. Agora, a situação escalou: a CISA não apenas confirmou a exploração ativa e global, mas também detalhou as falhas como CVE-2026-88771 e CVE-2026-88772, com CVSS de 9.5. O que era um alerta preventivo da Citrix sobre problemas potenciais, agora é uma ameaça concreta e tecnicamente desvendada, com execução de comando e código remoto confirmada.

A exploração ativa de vulnerabilidades críticas em dispositivos de borda de rede, como os produtos Citrix NetScaler, representa um risco gigantesco para a segurança digital. Estes dispositivos são pontos de entrada cruciais nas redes corporativas. Uma falha de RCE ou injeção de comando neles pode significar acesso irrestrito à infraestrutura interna de uma organização. Governos e grandes empresas, que frequentemente usam esses produtos para acesso remoto seguro e balanceamento de carga, estão sob ameaça direta de comprometimento de dados, interrupção de serviço e espionagem.

A inclusão dessas CVEs no Catálogo KEV da CISA manda um sinal claro: a ameaça é real e a correção é mandatória, especialmente para agências federais, que têm até 30 de setembro de 2026 para aplicar os patches. A inércia pode ter consequências devastadoras, tornando crucial a imediata aplicação de patches, investigação de comprometimento e adoção de medidas de resposta a incidentes.