A CISA incluiu duas falhas críticas do Citrix NetScaler no catálogo de vulnerabilidades exploradas conhecidas, depois de relatos de exploração ativa em escala global. A agência determinou prazo até 30 de setembro para que os órgãos federais americanos apliquem as correções.
As duas são a CVE-2026-88771 e a CVE-2026-88772, ambas com nota 9.5 na escala CVSS. A Citrix publicou as versões corrigidas em 27 de setembro, no mesmo dia em que a agência americana fez a inclusão no catálogo.
A primeira decorre de validação inadequada de entrada e permite executar comandos arbitrários sem autenticação. Atinge todas as instalações do NetScaler ADC e do Gateway em configuração padrão.
A segunda vem de falha no controle dos limites de buffer de memória e leva a execução remota de código ou negação de serviço. Depende do DTLS, que vem habilitado por padrão nos servidores virtuais de VPN.
São vulneráveis as versões 14.1-73.32 e 13.1-63.21 e as anteriores. As correções estão nas versões 14.1-73.37 e 13.1-64.23 em diante, com números equivalentes para as variantes FIPS.
A exploração foi identificada pela watchTowr em 26 de setembro, e a Citrix confirmou no dia seguinte que ataques contra instalações sem mitigação já haviam sido observados. A Citrix não divulgou solução alternativa, e a orientação é atualizar para as versões corrigidas.
A recomendação vai além do patch. Aplicar a correção não revela se o equipamento já foi comprometido, então a orientação é preservar evidências, isolar o aparelho, revogar credenciais, investigar os sistemas conectados, reconstruir com o firmware mais recente e trocar senhas e chaves de criptografia.
