Uma falha de 9,5 que exige uma configuração específica
A 9 de outubro a Citrix publicou correções para a CVE-2026-107406, um transbordo de memória no NetScaler ADC e no NetScaler Gateway que pode levar a execução remota de código ou a negação de serviço em condições de configuração específicas. Tem nota 9,5 no CVSS v4.0 e está classificada como CWE-119, restrição indevida de operações dentro de uma memória intermédia.
A Citrix diz que não há indícios de exploração ativa, embora o The Register note que não esclareceu se a falha foi usada como zero-day antes de divulgada. A Citrix creditou investigadores da equipa XOR da JPMorgan Chase e Maxim Suhanov pela descoberta.
A verificação das duas linhas
A falha só pode ser explorada quando o equipamento está configurado como fornecedor de identidade SAML ou como fornecedor de serviço, e a configuração mostra qual dos dois casos se aplica.
O The Hacker News indica duas entradas a procurar. Um fornecedor de serviço SAML tem uma linha que começa por add authentication samlAction, e um fornecedor de identidade SAML uma que começa por add authentication samlIdPProfile. Procure ambas na configuração guardada. Se não existir nenhuma, esta condição específica não se cumpre, o que não isenta o equipamento das outras falhas do NetScaler descritas abaixo.
Que versões estão afetadas
As versões vulneráveis dependem da função SAML. As mais antigas estão expostas em ambas as funções, algumas mais recentes apenas como fornecedor de identidade.
| Ramo | Exposta como SP ou IdP SAML | Exposta só como IdP SAML | Corrigida em |
|---|---|---|---|
| ADC e Gateway 14.1 | Anteriores à 14.1-73.37 | 14.1-73.37 a 14.1-73.41 | 14.1-73.46 e posteriores |
| ADC 14.1-FIPS | Anteriores à 14.1-73.37 FIPS | 14.1-73.37 FIPS a 14.1-73.41 FIPS | 14.1-73.46 FIPS e posteriores |
| ADC e Gateway 13.1 | Anteriores à 13.1-64.23 | 13.1-64.23 a 13.1-64.28 | 13.1-64.29 e posteriores |
| ADC 13.1-FIPS e 13.1-NDcPP | Anteriores à 13.1-37.279 | 13.1-37.279 a 13.1-37.282 | 13.1-37.283 e posteriores |
As implementações Secure Private Access Hybrid que usam instâncias NetScaler também estão afetadas e precisam da mesma atualização. A Citrix trata das atualizações dos seus serviços na nuvem geridos e do Adaptive Authentication, por isso aí não há nada a instalar, enquanto quem opera equipamentos próprios tem de os atualizar.
A mesma função está por trás das falhas exploradas
O The Hacker News enumera outras três falhas do NetScaler sob exploração ativa: CVE-2026-88771, CVE-2026-88772 e CVE-2026-88779. Investigadores da Google disseram que uma campanha que explora a CVE-2026-88772 decorria desde pelo menos o início de setembro, com organizações de governo, finanças, direito e educação da América do Norte e da Europa provavelmente afetadas, noticia o The Register. A Citrix divulgou a CVE-2026-88779, com nota 8,7, na sexta-feira anterior, e o The Register nota que esta e a nova falha são ambas transbordos de memória que afetam configurações SAML.
A Citrix não identificou a nova falha como explorada, e isso é uma afirmação sobre hoje. Como a mesma função tem produzido falhas exploradas nas últimas semanas, planearíamos partindo do princípio de que os atacantes também leem este aviso.
Uma ordem de prioridades para esta semana
Faça primeiro a verificação da configuração, porque ela separa os seus equipamentos entre os que há que corrigir esta semana e os que podem esperar pelo ciclo normal.
Os equipamentos com configuração SAML vão primeiro, para a 14.1-73.46, a 13.1-64.29 ou a build FIPS correspondente, e tudo o que ainda não tenha as correções das três falhas exploradas passa à frente desta. Se uma atualização não for possível em 72 horas, limite entretanto quem pode chegar aos pontos de acesso SAML.
Depois trate o NetScaler como qualquer gateway de autenticação exposto à internet: um responsável identificado, uma subscrição de avisos e uma janela de correções fixa. A Citrix emitiu agora um aviso crítico além de três falhas exploradas em poucas semanas, e um ciclo mensal não cobre um padrão destes.
Leia a seguir: Corrigida em junho, explorada em agosto: a falha do NetScaler | CitrixBleed regressa, explorado em menos de um dia
