# Falhas do Citrix NetScaler foram exploradas por pelo menos três semanas antes da liberação dos patches

> Duas falhas críticas do NetScaler ADC e Gateway foram usadas em ataques desde o início de setembro de 2026. O que dizem as reportagens e o que um pequeno escritório atrás de um gateway desses pode verificar.

FireAI Security & Research Team (HisnLabs) · Published 2026-10-01
Canonical: https://hisnlabs.com/pt-br/news/citrix-netscaler-flaws-exploited-three-weeks-before-disclosure

A CyberScoop relatou em 29 de setembro de 2026 que atacantes exploraram uma falha em appliances Citrix NetScaler por pelo menos três semanas antes de ela ser confirmada, com a exploração mais antiga conhecida em 3 de setembro. A Mandiant atribui a campanha a atores avançados e suspeitos de atuar a serviço de um Estado, e a Citrix lançou patches no domingo, 28 de setembro, para as duas falhas e para outros seis defeitos [[1]](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/) [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances). As reportagens tratam de organizações, mas os mesmos gateways ficam na frente de pequenos escritórios e de trabalhadores remotos.

## Contexto

O NetScaler ADC e o NetScaler Gateway são appliances que ficam na borda de uma rede e cuidam do acesso remoto e da entrega de tráfego; por isso, são alcançáveis pela internet por definição. A CyberScoop observa que dispositivos de borda representaram 48 por cento dos ataques corporativos desse tipo no ano passado e que, em geral, não têm monitoramento de detecção em endpoints [[1]](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/). Um escritório que acessa seus arquivos ou aplicativos por uma VPN NetScaler, seja operando o appliance ou deixando que um provedor o opere em seu nome, depende de que esse dispositivo esteja com os patches em dia.

## Constatações

Duas falhas são citadas, CVE-2026-88772 e CVE-2026-88771. A CyberScoop descreve a segunda como uma vulnerabilidade de injeção de comandos e relata que ambas recebem nota 9,5 na escala CVSS e permitem execução remota de código em dispositivos NetScaler ADC e Gateway em configurações padrão [[2]](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/). A análise da watchTowr sobre a CVE-2026-88772 descreve um estouro de memória no tratamento de mensagens fragmentadas do handshake DTLS. O DTLS vem ativado por padrão em servidores virtuais de VPN, e um administrador precisa tê-lo desativado explicitamente para evitar a exposição [[4]](https://labs.watchtowr.com/here-we-go-again-citrix-netscaler-dtls-preauth-memory-overflow-cve-2026-88772/).

Segundo a CyberScoop, a GreyNoise viu uma tentativa de exploração malsucedida em 24 de setembro, e avisos circularam por canais não oficiais durante o fim de semana, enquanto a Citrix se mantinha publicamente em silêncio; a Citrix publicou seu comunicado no domingo, 28 de setembro [[2]](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/). O CEO da watchTowr, Ben Harris, é citado dizendo que os clientes recebiam avisos por canais não oficiais nesse período [[2]](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/).

A Mandiant descreve uma cadeia de ataque em que cabeçalhos de registros DTLS malformados levam à corrupção de memória no heap e à execução de código com privilégios de root. Depois disso, os atacantes estabelecem persistência na configuração do servidor web do appliance e implantam duas ferramentas que a Mandiant chama de WHIPSHOT, um web shell em PHP, e SLAPSHOT, um proxy em Python usado para fazer túnel de tráfego [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances). A CyberScoop acrescenta que Charles Carmakal, da Mandiant, disse que a empresa tem conhecimento de dezenas de organizações afetadas e espera uma exploração ampla e oportunista no curto prazo. Os setores afetados incluem governo, serviços financeiros, educação, telecomunicações e serviços jurídicos e profissionais na América do Norte e na Europa [[1]](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/).

A CyberScoop relata que a Palo Alto Networks identificou mais de 50.000 instâncias vulneráveis expostas publicamente até domingo e que a CISA incluiu as duas falhas em seu catálogo de vulnerabilidades conhecidas e exploradas. Foi a quinta entrada da Citrix em 2026 e a 26ª desde o fim de 2021 [[2]](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/).

> O FireAI, o firewall local para macOS desenvolvido pela HisnLabs, mostra qual app de um Mac se conecta a qual servidor, inclusive o cliente de VPN que alcança o gateway de um escritório. Há um período de teste de 17 dias. [Download FireAI for Mac](https://hisnlabs.com/en/download)

## Implicações para pequenos escritórios e trabalhadores remotos

O componente vulnerável é o appliance, não o notebook que está por trás dele. Quem se conecta por um gateway NetScaler não pode aplicar o patch nele e não tem como saber, do lado do cliente, se ele foi atualizado. A Mandiant lista as credenciais armazenadas no appliance, ou que passam por ele, entre os itens a trocar após um comprometimento, incluindo contas de bind LDAP, segredos compartilhados RADIUS e credenciais TACACS, e aconselha auditar a infraestrutura a jusante, como hosts de StoreFront e Virtual Apps [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances). Para um pequeno escritório, isso se traduz em perguntas a quem opera o gateway.

## Recomendações

1. Pergunte a quem opera o gateway, o provedor de TI ou a equipe de TI do empregador, se ele usa NetScaler e qual build. As builds corrigidas citadas pela Mandiant e pela watchTowr são 14.1-73.37 e 13.1-64.23 ou posteriores, incluindo suas variantes FIPS [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances) [[4]](https://labs.watchtowr.com/here-we-go-again-citrix-netscaler-dtls-preauth-memory-overflow-cve-2026-88772/).
2. Quando a aplicação do patch demorar, a Mandiant lista controles compensatórios: desativar o DTLS onde for viável, bloquear UDP 443 de entrada a montante e permitir apenas endereços de origem conhecidos no firewall de perímetro [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances).
3. Após um comprometimento suspeito, revogue as sessões ativas de administrador e de VPN e troque as credenciais e as chaves SSH do appliance [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances).
4. Trate as senhas usadas pelo gateway desde o início de setembro como potencialmente expostas se o operador não puder confirmar que o appliance está limpo, e troque-as [[3]](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances).
5. Não confie na ausência de alertas. A campanha durou pelo menos três semanas antes de ser confirmada [[1]](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/).

## Relevância para o FireAI

O FireAI roda em um Mac. Ele não aplica patches, não varre nem monitora um appliance NetScaler, não enxerga o tráfego de ou dentro do gateway além do que o próprio Mac envia e não detecta uma intrusão em um dispositivo de rede. O que ele faz é local. O [histórico de atividade e conexões](https://hisnlabs.com/en/docs/activity-and-connection-history) mostra qual app se conectou a qual servidor, de modo que um app inesperado contatando um destino novo fica visível. As [regras](https://hisnlabs.com/en/docs/per-app-rules) podem permitir que o cliente de VPN alcance o gateway do escritório e nada mais. Se alguém suspeita de que uma conta usada a partir de um Mac foi exposta, o [kill switch](https://hisnlabs.com/en/docs/kill-switch) recusa novas conexões fora da rede da casa ou do escritório, embora não encerre conexões que já estejam abertas.

> Um gateway que não pode receber patches a partir do notebook ainda deixa o notebook visível. O FireAI mostra cada app que se conecta para fora e pergunta antes que um desconhecido o faça. Experimente grátis por 17 dias. [Download FireAI for Mac](https://hisnlabs.com/en/download)

## Limitações

Os dois artigos da CyberScoop são reportagem secundária, e os detalhes em que divergem, como a data exata em que os ataques foram confirmados, não foram conciliados. O número de 50.000 instâncias expostas, da Palo Alto Networks, é citado pela CyberScoop; o próprio resumo de ameaças da Unit 42 não pôde ser obtido para este item. As fontes não dizem quantos pequenos escritórios foram afetados, se alguma vítima era usuária de Mac nem quem são os atores além da descrição da Mandiant. O número de 48 por cento refere-se a ataques corporativos desse tipo no ano anterior, conforme declarado pela CyberScoop, e não foi conferido com o estudo que lhe serve de base.

Experimente o [FireAI, da HisnLabs](https://hisnlabs.com/en/download) grátis por 17 dias.

## Sources

- [CyberScoop, 29 September 2026: Attackers exploited Citrix NetScaler flaw for at least three weeks undetected](https://cyberscoop.com/citrix-netscaler-zero-day-attacks-three-weeks-undetected/)
- [CyberScoop, September 2026: Citrix patches actively exploited NetScaler flaws after a weekend of unofficial warnings](https://cyberscoop.com/citrix-zero-days-delayed-disclosure/)
- [Mandiant (Google Cloud), 29 September 2026: Defending against active exploitation of Citrix NetScaler ADC and Gateway appliances](https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances)
- [watchTowr Labs, 29 September 2026: CVE-2026-88772, Citrix NetScaler DTLS memory overflow](https://labs.watchtowr.com/here-we-go-again-citrix-netscaler-dtls-preauth-memory-overflow-cve-2026-88772/)