Pular para o conteúdo
Indene
pt

Alertas de segurança

Citrix e Cisco confirmam exploração de falhas em NetScaler e SD-WAN Manager

Três falhas críticas no NetScaler, usado como VPN, e no Catalyst SD-WAN Manager, que comanda a rede de agências, estão sendo exploradas. No NetScaler, os ataques começaram antes do aviso: atualizar é necessário, mas não prova que ninguém entrou.

Por Leonardo Araujo IevaAnalista de segurança ofensiva

4 min de leitura

Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Patched is not the same as clean.
Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Patched is not the same as clean.

A Citrix e a Cisco confirmaram, entre 27 e 30 de setembro de 2026, a exploração de falhas críticas em dois produtos que ficam na porta de entrada da rede corporativa: o NetScaler ADC e Gateway, usado como VPN e acesso remoto, e o Catalyst SD-WAN Manager, que comanda a rede de filiais e agências. A CISA incluiu as três vulnerabilidades no catálogo de falhas exploradas (KEV). No caso da Citrix, a exploração começou semanas antes do aviso público, o que torna a atualização necessária, mas não suficiente.

O que se sabe

CVE produto gravidade no KEV desde prazo federal americano versão corrigida
CVE-2026-88771 Citrix NetScaler ADC e Gateway CVSS v4.0 9,5 27 de setembro 30 de setembro 14.1-73.37 e 13.1-64.23
CVE-2026-88772 Citrix NetScaler ADC e Gateway com DTLS ativo CVSS v4.0 9,5 27 de setembro 30 de setembro 14.1-73.37 e 13.1-64.23
CVE-2026-76504 Cisco Catalyst SD-WAN Manager CVSS v3.1 9,8 30 de setembro 3 de outubro conforme o ramo (tabela do aviso)

Citrix NetScaler. A CVE-2026-88771 permite executar comandos sem autenticação e afeta a configuração padrão, sem nenhum recurso adicional. A CVE-2026-88772 é um estouro de memória que leva à execução de código ou à parada do equipamento quando o DTLS está ativo, o que acontece por padrão no servidor virtual de VPN. Estão afetadas as versões 14.1 anteriores a 14.1-73.37 e 13.1 anteriores a 13.1-64.23, além das edições FIPS e NDcPP. A Citrix publicou o boletim em 27 de setembro, depois de encontrar as falhas ao investigar incidentes em clientes.

A exploração é anterior ao boletim. A Unit 42, da Palo Alto Networks, registrou tentativas de reconhecimento a partir de 21 de agosto e duas cadeias de exploração em setembro, antes da divulgação. A empresa contou 50.277 instâncias expostas que podem estar vulneráveis em 27 de setembro. Segundo a Mandiant, citada pela Cybersecurity Dive, dezenas de organizações na América do Norte e na Europa foram atingidas, em setores que incluem governo e serviços financeiros, e em alguns casos o atacante instalou web shells e avançou para a rede interna.

Cisco Catalyst SD-WAN Manager. Uma falha no tratamento de codificação de URL na autenticação da API permite acesso remoto com privilégio de administrador, sem credencial. Afeta a instalação no próprio ambiente e o serviço de nuvem gerenciado pela Cisco, nos ramos de 20.9 a 26.2. A Cisco soube da exploração em setembro, publicou o aviso em 30 de setembro e informa que não há mitigação alternativa: a única correção é a atualização. As primeiras versões corrigidas são 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 e 26.2.1; versões anteriores a 20.9 precisam migrar para um ramo corrigido.

Por que importa para instituições financeiras

É a segunda leva de falhas exploradas em equipamentos de borda em duas semanas. O padrão se repete: o equipamento que autentica o acesso remoto ou que comanda a rede vira a entrada, e quem o controla não precisa de senha para o resto. O NetScaler Gateway costuma ser a VPN de funcionários e de fornecedores. O SD-WAN Manager configura a rede de todas as agências de uma vez. É o cenário de exploração de ativo exposto à internet, com caminho direto para o comprometimento de conta corporativa.

A diferença desta vez está no tempo. Quem atualizou o NetScaler no dia do boletim pode ter sido atingido antes. A CISA exige das agências americanas triagem forense, e não só a correção, e a Citrix publicou um roteiro próprio para o caso de suspeita de comprometimento (CTX694799). Atualizar fecha a porta; não diz se alguém já entrou.

Os dois produtos também são operados com frequência por terceiros: provedores de rede, integradores, serviços gerenciados. A pergunta sobre versão e sinais de acesso vale para o fornecedor tanto quanto para a equipe interna.

O que fazer agora

  1. Verifique se a instituição, ou um fornecedor que opera a rede em nome dela, usa NetScaler ADC, NetScaler Gateway ou Catalyst SD-WAN Manager, e se a interface está acessível pela internet.
  2. Aplique a versão corrigida indicada no boletim CTX697096 da Citrix e no aviso da Cisco. No SD-WAN Manager não há mitigação alternativa: até atualizar, a interface de gerência não deveria estar exposta.
  3. Procure sinais de acesso indevido desde 21 de agosto no NetScaler, seguindo o roteiro CTX694799, e revise os registros de acesso da API do SD-WAN Manager indicados no aviso da Cisco.
  4. Se houver sinal de comprometimento, isole o equipamento e preserve registros e imagens antes de reinstalar: é o que permite saber até onde o atacante chegou.
  5. Registre a correção e a verificação com data e responsável: é a evidência que a auditoria vai pedir.

Referências

Assuntos

Continue lendo

Todas as notícias