Alerta de segurança: dois RCE sem adesivo na Citrix NetScaler, exploração ativa de acordo com watchTowr

Em 26 de setembro, a assinatura de segurança watchTowr relatou que existem duas vulnerabilidades zero-day sem adesivo nos appliances Citrix NetScaler ADC e NetScaler Gateway que permitem execução remota de código (RCE) e que, segundo essa empresa, estão sendo exploradas ativamente em ambientes produtivos. A Citrix não publicou nenhum boletim nem confirmou publicamente essas falhas, e as peças disponíveis ao público não contêm indicadores de compromisso nem provas forenses fornecidas por watchTowr. Portanto, o que pode ser dito com certeza é limitado: uma empresa de segurança alertou sobre exploração em curso; a Citrix não emitiu um adesivo ou detalhes oficiais; e alguns administradores decidiram retirar dispositivos da rede enquanto esperam uma solução.

O que são NetScaler ADC e NetScaler Gateway e por que importa. Estes appliances (físicos ou virtuais) atuam no perímetro de muitas empresas como balanceadores de carga, controladores de acesso remoto e pontos de terminação VPN e autenticação. Um compromisso de um NetScaler na fronteira da rede pode dar a um atacante capacidade para interceptar ou redireccionar tráfego, extrair credenciais e manter acesso persistente a recursos internos. Essa função crítica é a razão pela qual os alertas de RCE nestes equipamentos são especialmente graves: não se trata de um servidor qualquer, mas de um componente que regula quem entra e sai de uma rede corporativa.

O que se sabe e o que não. Confirmado: watchTowr publicou em X (antes Twitter) uma nota inicial em 26 de setembro e um seguimento posterior no qual afirmou que existem dois RCE sem adesivo e que a exploração precede qualquer correção do fornecedor. A Citrix, por sua vez, não anunciou nada publicamente até a manhã do domingo seguinte ao alerta. Não confirmado: versões exactas afectadas, vectores de exploração, indicadores de compromisso (IoC), vítimas concretas, nem a fonte forense que teria descoberto as intrusões. Também não existe neste momento um boletim da Citrix que detalhes que builds recebem correção ou se versões que já alcançaram fim de manutenção receberão adesivos.

Contexto recente e por que a situação é complexa. Em agosto Citrix corrigiu um bypass de autenticação (mencionado como CVE-2026-19490 em vários relatos) e essa correção foi já incluída por agências como CISA em seu catálogo de vulnerabilidades exploradas em liberdade; além disso, em meses anteriores, foram documentados casos em que bugs adesivos levaram a exploração de RCE através de vetores como transbordamentos no heap. Isso demonstra que a cadeia de vulnerabilidades e as explorações contra o NetScaler tem sido ativa nos últimos meses, e que os incidentes prévios levaram a que alguns administradores optem por apagar ou isolar dispositivos na ausência de instruções oficiais. Para referência à lista de vulnerabilidades exploradas, ver a página da CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Para a página oficial de avisos da Citrix, consulte https://support.citrix.com/.

Como poderia funcionar tecnicamente um RCE no NetScaler. Embora não existam detalhes públicos dos dois erros citados por watchTowr, uma RCE em um appliance deste tipo costuma aproveitar um serviço exposto (interface de gerenciamento web, API REST, proxy SSL/TLS, ou componentes de processamento de pacotes) para executar código arbitrário no sistema operacional do appliance ou em processos privilegiados. Um atacante com RCE pode executar comandos com altos privilégios, instalar persistência (backdoors, cron jobs, webshells), extrair chaves privadas e credenciais armazenadas, ou pivotar para a rede interna. É por isso que a exploração anterior a um adesivo faz com que a mera atualização posterior não elimine necessariamente a presença de um atacante: persistências instaladas antes do adesivo continuarão a ser activas até serem detectados e eliminados.

Quem afecta. A organizações que utilizem o NetScaler ADC ou o NetScaler Gateway expostos a redes públicas ou que permitam acesso remoto à gestão. Em particular, ambientes que dependem desses appliances para VPN corporativa ou autenticação de usuários têm risco elevado porque a exploração poderia facilitar acesso direto a sessões e recursos internos. Também estão afetados fornecedores e MSSP que gerem esses equipamentos para terceiros, pelo potencial efeito multiplicador.

Consequências reais e prováveis. Se a exploração conseguir RCE com privilégios altos, as consequências incluem: acesso não autorizado a redes internas; captura ou suplantação de sessões VPN; roubo de credenciais e certificados; persistência do atacante que sobreviva a adesivos; e potencial impacto na disponibilidade (interrupções deliberadas ou incidentes por respostas defensivas). Uma vez que não há IoC públicos, muitas organizações devem assumir que um compromisso poderia ser silencioso e prévio a qualquer adesivo, o que complica a contenção.

Medidas imediatas e concretas a tomar pelo leitor. Primeiro, actue com prioridade e de forma planeada: contactar o seu equipamento de segurança e o fornecedor (Citrix TAC ou o seu reseller) e documentar cada passo. Enquanto não houver um adesivo oficial, considere estas ações práticas: 1) Preservar evidências antes de desligar: se possível, crie snapshots de VPX, capture suporte técnico (support bundle), preserve registros de syslog e faça core dumps do motor de pacotes, seguindo as guias do fabricante; 2) Se suspeitar de compromisso activo e risco iminente, aisle o appliance da rede ou apáguelo — mas tenha em conta que apagar destrói artefatos voláteis; 3) Mude todas as senhas de contas de serviço e segredos armazenados no appliance, revoque certificados e chaves privadas se houver suspeita razoável de exposição; 4) Retire a interface de gestão da Internet pública e limite o acesso administrativo a redes de gestão internas e VPN com MFA; 5) Aplique monitoramento intensivo: revisar logs de autenticação, conexões entrantes, e transferências de arquivos; 6) Considere reconstruir ou reinstalar o appliance a partir de imagens limpas se houver indícios de persistência; 7) Execute, quando aplicar, os programas de verificação e recomendações de agências reconhecidas — por exemplo, a NCSC dos Países Baixos ofereceu em incidentes prévios utilitários e procedimentos para verificar imagens e core dumps (veja o portal da agência: https://www.ncsc.nl/english); 8) Mantenha um canal de comunicação com seu fornecedor e documente tudo para possíveis processos forenses e legais.

Decidir entre desligar, isolar ou manter em serviço. Não há uma resposta única: apagar impede uma nova exploração imediata, mas apaga provas forenses voláteis; isolar o dispositivo numa rede de laboratório ou de contenção permite realizar análises sem cortar a rastreabilidade; mantê-lo em serviço mantém disponibilidade, mas amplia a janela de exposição. Se o seu NetScaler garante acessos críticos e não pode ser substituído fast, a decisão deve equilibrar segurança, disponibilidade e capacidade forense.

O que esperar do fabricante e do calendário. watchTowr indicou que esperava comunicações e adesivos da Citrix na semana de 28 de setembro; até que a Citrix publique um boletim oficial não há IOCs nem mitigações autorizadas. Além disso, algumas linhas de produto (por exemplo, o NetScaler 13.1) chegaram recentemente a fim de manutenção, o que pode complicar a disponibilidade de adesivos para versões antigas. É razoável preparar-se para aplicar atualizações em sistemas compatíveis e planejar migrações se a sua versão já não receber manutenção.

Em resumo: existe um alerta consistente de exploração ativa no NetScaler de acordo com uma assinatura de segurança, mas faltam confirmações técnicas públicas e adesivos da Citrix. Enquanto isso, asuma risco elevado para appliances expostos, priorice a preservação de evidências e o isolamento, mude senhas e certificados comprometidos, e continue atento aos comunicados oficiais da Citrix e a listas de vulnerabilidades geridas por agências e CISA. Para acompanhar de perto as atualizações, consulte a página de segurança da Citrix e o catálogo da CISA.