Uma falha de segurança no Citrix NetScaler está a ser explorada em ataques reais, depois de investigadores demonstrarem que o problema pode permitir a execução remota de código sem autenticação. A vulnerabilidade, identificada como CVE-2026-8452, afeta equipamentos NetScaler ADC e NetScaler Gateway usados por organizações para publicar aplicações, gerir acessos remotos e proteger ligações VPN.
A CISA, agência norte-americana de cibersegurança, incluiu a falha no catálogo de vulnerabilidades exploradas e fixou 29 de agosto como prazo de correção para organismos federais. O prazo aplica-se aos Estados Unidos, mas o sinal é relevante para qualquer empresa que administre estes equipamentos: a exploração deixou de ser apenas uma possibilidade demonstrada em laboratório.
De falha de memória a controlo remoto
A Citrix divulgou a CVE-2026-8452 em 30 de junho e descreveu-a como um erro de memória capaz de provocar comportamento imprevisível ou uma indisponibilidade do serviço. A empresa atribuiu-lhe uma classificação de gravidade elevada, com 8,8 numa escala até 10, e publicou atualizações no mesmo dia.
Em agosto, a watchTowr analisou as correções e mostrou que a falha podia ir mais longe. Segundo os investigadores, um atacante consegue transformar o erro numa execução remota de código com privilégios elevados, sem precisar de iniciar sessão. A publicação incluiu uma prova de conceito, que demonstra a técnica, mas não prova por si só que existiam ataques.
Essa distinção mudou quando a CISA adicionou a vulnerabilidade ao catálogo de falhas exploradas. BleepingComputer e Help Net Security também relataram atividade maliciosa, incluindo a instalação de web shells em sistemas comprometidos. Já não se trata, portanto, apenas de uma previsão baseada num teste técnico.
Que sistemas estão vulneráveis
O problema exige uma configuração específica. Segundo o boletim oficial, o equipamento tem de funcionar como Gateway, incluindo SSL VPN, ICA Proxy, CVPN ou RDP Proxy, ou como servidor virtual AAA. Instalações que não usam estas funções podem não cumprir as condições de exploração, mas devem ser verificadas pelo administrador.
São afetadas versões do NetScaler ADC e Gateway 14.1 anteriores à 14.1-72.61 e versões 13.1 anteriores à 13.1-63.18. Nos ramos FIPS e NDcPP, também existem versões corrigidas indicadas no boletim da Citrix. Os serviços cloud geridos diretamente pela empresa foram atualizados pela própria Citrix; a responsabilidade de instalar a correção recai sobretudo sobre equipamentos geridos pelos clientes.
O que os administradores devem fazer
A medida prioritária é atualizar para uma versão corrigida. A Citrix recomenda 14.1-72.61 ou posterior, 13.1-63.18 ou posterior e as compilações equivalentes dos ramos FIPS e NDcPP. Antes da intervenção, convém confirmar o modelo, a versão e a função configurada, preparar uma cópia da configuração e seguir o procedimento de atualização previsto para o ambiente.
Depois da atualização, a equipa deve procurar sinais de acesso indevido. A existência de ficheiros ou processos desconhecidos, alterações recentes sem justificação, comandos executados por contas de serviço e ligações invulgares pode indicar comprometimento. Instalar a correção impede novas explorações conhecidas, mas não remove automaticamente uma presença maliciosa criada antes da atualização.
Também é prudente limitar a exposição das interfaces de administração, rever registos e credenciais associadas e validar o equipamento a partir de uma fonte de confiança. Se houver indícios de intrusão, a resposta deve incluir isolamento, preservação de evidências e análise especializada, em vez de apenas reiniciar o sistema.
Para utilizadores domésticos, não existe uma atualização a instalar no computador ou no telemóvel. O impacto é indireto e depende dos serviços de empresas e entidades que usam NetScaler. Para as organizações afetadas, porém, a combinação de código público, ataques confirmados e sistemas expostos torna a correção urgente.
Fontes: Citrix · CISA · BleepingComputer · Help Net Security