Ir para o conteúdo
Centoculus
pt

Alerta de segurança · Crítica

Citrix NetScaler ADC e Gateway: falhas críticas de memória permitem negação de serviço (CVE-2026-120868)

· 4 minutos de leitura · Centoculus Security Team

Conhecida desde

Afetados: NetScaler ADC e NetScaler Gateway anteriores a 14.1-73.57 e 13.1-64.39; NetScaler ADC 14.1-FIPS anterior a 14.1-73.58; 13.1-FIPS/13.1-NDcPP anterior a 13.1-37.293

O que aconteceu

Em 13 de novembro de 2026, a Citrix publicou atualizações de segurança para o NetScaler ADC e o NetScaler Gateway (aviso CTX697305). A falha de maior alcance é a CVE-2026-120868 (CVSS 9.3). Trata-se de um estouro de memória no processamento de pacotes que pode levar a comportamento imprevisível ou errôneo, ou a uma negação de serviço (DoS). Segundo o aviso, ela afeta todas as implantações do NetScaler ADC e do NetScaler Gateway, independentemente da configuração.

A mesma versão corrige outras oito falhas críticas de memória. Cada uma delas só é relevante se um determinado recurso estiver configurado:

  • CVE-2026-107407 (CVSS 9.3): estouro de memória no tráfego SMPP. Afeta servidores virtuais de Load Balancing ou Content Switching do tipo SMPP.
  • CVE-2026-107408 (CVSS 9.3): corrupção de memória em DNS / DNS-over-HTTPS. Afeta appliances configurados para balanceamento de carga DNS e resolução DNS recursiva.
  • CVE-2026-107409 (CVSS 9.3): corrupção de memória em DNS-over-HTTPS. Afeta o balanceamento de carga DNS sobre HTTPS.
  • CVE-2026-107410 (CVSS 9.3): estouro de memória no NetScaler Push. Afeta servidores virtuais de Load Balancing do tipo PUSH.
  • CVE-2026-107412 (CVSS 9.5): múltiplos estouros de memória. Afeta appliances configurados como servidor virtual Gateway ou AAA.
  • CVE-2026-107415 (CVSS 9.3): estouro de memória na autenticação por OTP por e-mail. Afeta configurações com uma Email Action.
  • CVE-2026-111344 (CVSS 9.3): estouro de memória na Endpoint Analysis (EPA/EPAS). Afeta servidores virtuais VPN ou AAA que usam Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): estouro de memória no proxy ICA. Afeta servidores virtuais Gateway VPN, AAA ou CR (tipo HDX).

Todas essas falhas podem levar a comportamento imprevisível ou a negação de serviço. No momento da publicação, a Citrix informou não ter conhecimento de explorações para essas vulnerabilidades. A CISA não as lista como exploradas.

No mesmo dia, a Citrix também corrigiu três falhas em outros produtos, cada uma em seu próprio aviso:

  • CVE-2026-120869 (CVSS 9.4): bypass de autenticação no NetScaler Console. Corrigida na versão 14.1-74.34 e posteriores.
  • CVE-2026-118268: escalonamento de privilégios para SYSTEM no Secure Access Client para Windows. Corrigida na versão 26.11.1.6 e posteriores.
  • CVE-2026-118269: escalonamento de privilégios para root no Secure Access Client para Linux. Corrigida na versão 26.10.4 e posteriores.

Quem é afetado

Você é afetado pela CVE-2026-120868 se executa NetScaler ADC ou NetScaler Gateway em versões anteriores às corrigidas:

  • NetScaler ADC e NetScaler Gateway 14.1: corrigido em 14.1-73.57 e posteriores
  • NetScaler ADC e NetScaler Gateway 13.1: corrigido em 13.1-64.39 e versões posteriores da 13.1
  • NetScaler ADC 14.1-FIPS: corrigido em 14.1-73.58 FIPS e versões posteriores da 14.1-FIPS
  • NetScaler ADC 13.1-FIPS e 13.1-NDcPP: corrigido em 13.1-37.293 e versões posteriores da 13.1-FIPS e 13.1-NDcPP

As outras oito falhas do NetScaler ADC e do Gateway só se aplicam se o recurso citado ao lado delas estiver configurado. A CVE-2026-120868 não depende de configuração, portanto todo appliance abaixo das versões corrigidas precisa da atualização.

Sistemas que não executam NetScaler não são afetados: servidores web comuns, servidores de e-mail ou painéis de hospedagem. Se você usa apenas o NetScaler Console ou o Secure Access Client, consulte os avisos separados da Citrix para esses produtos.

O que fazer agora

  1. Liste todas as instâncias do NetScaler ADC e do NetScaler Gateway, incluindo pares de HA, instâncias VPX na nuvem e appliances que você opera para clientes.
  2. Faça backup da configuração de cada instância (ns.conf) antes de atualizar.
  3. Atualize para 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS ou 13.1-37.293 (FIPS/NDcPP), ou para uma versão posterior do seu ramo. Em pares de HA, atualize primeiro o nó secundário, faça o failover e depois atualize o antigo primário.
  4. Após a reinicialização, verifique se os servidores virtuais estão ativos e se os logins de Gateway, VPN e autenticação funcionam.
  5. Se você usa o NetScaler Console, atualize-o para 14.1-74.34 ou posterior. Atualize as instalações do Secure Access Client no Windows (26.11.1.6) e no Linux (26.10.4).
  6. Se não puder atualizar imediatamente, limite o acesso às interfaces de gerenciamento a redes confiáveis e monitore os appliances quanto a reinicializações inesperadas ou falhas até que a atualização seja instalada.

Como verificar se você é afetado

Verifique a build instalada na interface de gerenciamento ou com o comando CLI show ns version. Se a build for inferior à versão corrigida do seu ramo, o appliance está vulnerável à CVE-2026-120868. Para saber se as outras falhas também se aplicam, compare sua configuração com as condições acima, por exemplo servidores virtuais SMPP ou PUSH, balanceamento de carga DNS, servidores virtuais Gateway/AAA, OTP por e-mail, Endpoint Analysis ou proxy ICA. O aviso CTX697305 da Citrix contém todos os detalhes.

Fontes

Outras fontes (2)

Outros artigos