Este é um guia rápido sobre uma vulnerabilidade que está sendo explorada ativamente (listada no KEV da CISA). Ele explica o que acontece, quem é afetado e como responder, do ponto de vista do defensor, sem passos de reprodução.
- CVE
- CVE-2026-88779 (boletim do fornecedor CTX697174)
- Gravidade
- Fornecedor: Alta / CVSS v4.0 8,7 (o NVD ainda não analisou; sem pontuação v3.1)
- Tipo
- Falha de memória (CWE-119: operações fora dos limites de um buffer de memória)
- Impacto
- Classificação do fornecedor: negação de serviço (DoS). A possível execução de código está sendo investigada por pesquisadores
- Pré-condições
- Sem autenticação, sem interação do usuário. Equipamentos configurados como SP SAML ou IdP SAML
- Afetados
- NetScaler ADC / NetScaler Gateway 14.1 e 13.1, incluindo versões FIPS/NDcPP, anteriores às versões corrigidas
- Correção
- 14.1-73.41 / 13.1-64.28 e outras, lançadas em 3 de outubro de 2026 (as versões de 27 de setembro não corrigem esta falha)
- Exploração
- No KEV da CISA (incluída em 4 de outubro de 2026, prazo de correção em 7 de outubro), marcada como exigindo triagem forense
Quão perigoso é esperar?
O fornecedor afirma ter observado ataques direcionados a implantações do NetScaler sem mitigação que podem levar a DoS. O NetScaler Gateway é usado como ponto de entrada de VPN e acesso remoto, então, quando ele para, o trabalho remoto para junto. Este produto acumula uma sequência de falhas exploradas desde setembro: CVE-2026-19490 (bypass de autenticação), depois CVE-2026-88771/88772 (execução de código). Considere que atacantes estão trabalhando neste produto continuamente.
Que tipo de falha é?
SAML é uma forma de autenticar usuários repassando o resultado de um login feito em outro sistema. O NetScaler pode atuar como o lado que aceita esse resultado (SP) ou como o que o emite (IdP). De acordo com o boletim do fornecedor, equipamentos com o processamento SAML ativado tinham uma falha que permite que operações ocorram fora dos limites de um buffer de memória (CWE-119). Este site não descreve como ela é explorada.
O fornecedor a classifica como negação de serviço, e o vetor CVSS v4.0 diz "sem autenticação, apenas impacto na disponibilidade". O fornecedor afirma não ter identificado impacto na integridade dos dados dos clientes. Pesquisadores, porém, relataram observações que sugerem que a falha pode ter sido usada para execução de código, e não apenas para DoS. Isso está em investigação e não foi confirmado.
Posição do fornecedor (boletim e blog)
- Classificada como negação de serviço causada por corrupção de memória
- Ataques direcionados observados contra implantações sem mitigação
- Nenhum impacto na integridade dos dados dos clientes identificado
Observações de pesquisadores (conforme relatado)
- Relatos de programas maliciosos em execução, inclusive em honeypots corrigidos
- Se isso é execução de código por meio desta falha está em investigação
- A CVE-2026-8452, outra falha de configuração SAML, foi publicada como DoS e depois analisada como levando a execução de código
Antes de 14.1-73.37: nem 88771/88772 nem 88779 corrigidas
→ atualize e também verifique intrusão
14.1-73.37 (correção de 27 de set.): 88779 não corrigida
→ se você usa SAML, atualize novamente
14.1-73.41 ou posterior (correção de 3 de out.): fora deste boletim
→ na 13.1, o equivalente é 13.1-64.28 ou posterior
Quem é afetado
| Linha de versão | Versões afetadas | Versões corrigidas |
|---|---|---|
| NetScaler ADC / Gateway 14.1 | anteriores a 14.1-73.41 | 14.1-73.41 e posteriores |
| NetScaler ADC / Gateway 13.1 | anteriores a 13.1-64.28 | 13.1-64.28 e posteriores |
| NetScaler ADC 14.1-FIPS | anteriores a 14.1-73.41 FIPS | 14.1-73.41 FIPS e posteriores |
| NetScaler ADC 13.1-FIPS / 13.1-NDcPP | anteriores a 13.1-37.282 | 13.1-37.282 e posteriores |
- A pré-condição é uma configuração de SP SAML (
add authentication samlAction) ou de IdP SAML (add authentication samlIdPProfile). - Implantações híbridas do Secure Private Access que usam NetScaler são afetadas; os clientes atualizam essas instâncias do NetScaler.
- O fornecedor atualiza os serviços em nuvem gerenciados pela Citrix e o Adaptive Authentication.
- O boletim lista apenas as linhas suportadas acima. Se você usa uma linha fora de suporte, migre para uma suportada.
O que fazer
Verifique se você usa SAML
Procure add authentication samlAction (SAML SP) ou add authentication samlIdPProfile (SAML IdP) na configuração do NetScaler. Qualquer um dos dois coloca o equipamento no escopo. Se você tiver vários, verifique cada um (checklist de inventário de segurança).
Atualize para a versão corrigida (primeira prioridade)
Migre para a versão corrigida da sua linha ou posterior (14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282). Equipamentos nas versões de 27 de setembro (14.1-73.37 e outras) estão incluídos. Depois de atualizar, confirme o número da versão efetivamente em execução. Este boletim (CTX697174) não lista etapas extras pós-atualização, como encerrar sessões.
Se não puder atualizar imediatamente, cubra a lacuna
O boletim não lista nenhuma solução alternativa. Segundo reportagens da imprensa, o blog do fornecedor indica a Global Deny List do NetScaler (um recurso que bloqueia tráfego de fontes de ataque conhecidas) como medida provisória até a atualização. Ela não substitui a atualização.
Verifique travamentos e intrusão
A CISA marca esta CVE para triagem forense. Primeiro, verifique se o equipamento travou ou reiniciou inesperadamente antes da atualização, e entre em contato com o suporte do fornecedor se isso ocorreu. Equipamentos que receberam a correção 88771/88772 após 27 de setembro devem ser verificados com os passos para um comprometimento suspeito (CTX694799) do fornecedor e com as verificações listadas no alerta do JPCERT/CC (alterações suspeitas na configuração do servidor web, arquivos desconhecidos, alterações suspeitas de permissão e assim por diante).
Se encontrar sinais de intrusão, não pare em 'corrigido'
A atualização fecha a brecha; ela não remove uma backdoor já instalada nem credenciais já roubadas. Reconstrua o equipamento, substitua os certificados, chaves e senhas armazenados nele e revise as contas que entraram por ele. O processo completo está em o playbook de remediação de vulnerabilidades.
As falhas exploradas logo antes desta: CVE-2026-88771 / 88772
Em 27 de setembro de 2026, o fornecedor divulgou oito vulnerabilidades e confirmou a exploração de duas. A CISA incluiu ambas no KEV no mesmo dia.
- CVE-2026-88771: validação inadequada de entrada (CWE-20) que permite a um atacante não autenticado executar comandos arbitrários. Segundo o JPCERT/CC, todas as configurações, inclusive a padrão, são afetadas
- CVE-2026-88772: falha de memória (CWE-119) que leva a execução de código ou DoS. Afeta configurações com DTLS habilitado, o que ocorre por padrão em servidores virtuais VPN do Gateway
- Corrigidas nas versões 14.1-73.37, 13.1-64.23 e outras. O JPCERT/CC informa que tentativas de ataque contra o NetScaler no Japão foram observadas a partir de 24 de setembro
- Um relatório de uma equipe de inteligência de ameaças, citado pelo JPCERT/CC, descreve atividade pós-exploração após a 88772, como a instalação de web shells para manter o acesso
Antes disso, em 9 de setembro, a CVE-2026-19490 (bypass de autenticação em configurações de servidores virtuais Gateway e AAA) também foi incluída no KEV.
Visão deste site: em um equipamento VPN, trate 'apenas DoS' como prioridade máxima mesmo assim
O fornecedor classifica esta falha como DoS, e o EPSS (a estimativa da chance de exploração nos próximos 30 dias) é baixo, 0,3%. Ainda assim, achamos que ela merece a mesma prioridade de uma falha de execução de código, por três razões.
Primeiro, o NetScaler Gateway é a porta de entrada vinda de fora, então uma interrupção já é custosa por si só. Segundo, a CVE-2026-8452, outra falha de configuração SAML, foi publicada como DoS e depois analisada como levando a execução de código; classificações podem mudar. Terceiro, este produto teve quatro falhas exploradas em cerca de um mês, e os equipamentos precisam de nova atualização logo após terem sido atualizados.
Ter um equipamento VPN pressupõe que você consegue aplicar atualizações emergenciais várias vezes por mês. Se não consegue, a questão passa a ser se vale manter o equipamento (defesa de equipamentos VPN).
Fontes
- Cloud Software Group — CTX697174: Security Bulletin for CVE-2026-88779 (publicado em 3 de outubro de 2026, horário do Pacífico dos EUA; pré-condições, versões afetadas e corrigidas, CVSS v4.0 8,7)
- NVD — CVE-2026-88779 (status "Received", ainda não analisada, em 5 de outubro; CWE-119)
- CISA KEV — Known Exploited Vulnerabilities Catalog (incluída em 4 de outubro de 2026, prazo em 7 de outubro, triagem forense exigida)
- JPCERT/CC — Alerta sobre CVE-2026-88771, CVE-2026-88772 e outras (em japonês; publicado em 28 de setembro, atualizado em 2 de outubro; sem alerta sobre a CVE-2026-88779 até 5 de outubro) / Alerta sobre CVE-2026-8452 (em japonês)
- IPA — Vulnerabilidades do NetScaler ADC e NetScaler Gateway (CVE-2026-88771, CVE-2026-88772 e outras) (em japonês)
- Imprensa — BleepingComputer (declarações do blog do fornecedor e observações de pesquisadores sobre possível execução de código; este artigo usa apenas os fatos e as verificações do lado defensivo)
- FIRST — EPSS (0,0028 em 4 de outubro de 2026)