Governo societário · 5 de outubro de 2026
O equipamento que olha para a rua
A 27 de setembro a Citrix confirmou duas falhas no NetScaler que não pediam utilizador nem palavra-passe. Vários administradores desligaram o equipamento antes de segunda-feira.
Por Rafael Núñez Aponte. Publicado em 5 de outubro de 2026.
Texto original em espanhol. Ler a versão original em espanhol
Há equipamentos que não estão na secretária de ninguém. Estão à porta.
A 27 de setembro a Citrix publicou o boletim CTX697096. Oito falhas no NetScaler ADC e no NetScaler Gateway. Duas já estavam em uso: CVE-2026-88771 e CVE-2026-88772. As duas em 9,5.
Sem utilizador e sem palavra-passe
A primeira executa comandos sem autenticação. A Citrix indica que não pede uma configuração especial: basta a instalação por defeito. A segunda é um transbordo de memória. Pede DTLS, e o DTLS vem ativo de fábrica nos servidores virtuais de VPN.
A CISA incorporou-as nesse fim de semana no catálogo de vulnerabilidades exploradas. A watchTowr reportou que a exploração vinha de antes do patch. A SecurityWeek recolheu que vários administradores desligaram o equipamento: segunda-feira já era tarde. A Network World citou a mesma pressa.
Segunda-feira será tarde não é uma frase de folheto. É o que resta quando o equipamento que olha para a rua não tem dono num sábado.
O que perguntar na segunda-feira
- Há um NetScaler virado para a internet, e está abaixo de 14.1-73.37 ou de 13.1-64.23?
- Quem o pode desligar num domingo sem pedir licença na segunda-feira?
- Avaliou-se se já foi usado, ou só se pôs o patch por cima?
- Esse equipamento aparece no mapa que o conselho vê, ou só no do fornecedor?
Referências
- Critical vulnerabilities in Citrix NetScaler ADC and Gateway, advisory 2026-014. CERT-EU. Consulta: 2026-10-05. El 27 de septiembre de 2026 Citrix publicó el boletín CTX697096. CVE-2026-88771 es ejecución remota sin autenticación, sin precondición. CVE-2026-88772 es desborde de memoria. Citrix confirmó explotación.
- Citrix confirms two NetScaler zero-days after admins pulled the plug. SecurityWeek. Consulta: 2026-10-05. Las dos fallas tienen CVSS 9,5. CISA las incorporó al catálogo de vulnerabilidades explotadas. Varios administradores sacaron de línea el equipo.
- NetScaler admins told to patch critical zero-days in ADC and Gateway now. Network World. Consulta: 2026-10-05. Los arreglos están en 14.1-73.37 y 13.1-64.23. CVE-2026-88772 pide DTLS, activo de fábrica en servidores virtuales de VPN. watchTowr reportó explotación anterior al parche.