A Citrix lançou correções para várias falhas críticas no NetScaler ADC, no Citrix NetScaler Gateway e no NetScaler Console. As vulnerabilidades podem causar negação de serviço (DoS) ou permitir o contorno da autenticação.
As falhas críticas que afetam o NetScaler ADC e o NetScaler Gateway são:
- **CVE-2026-120868 (CVSS: 9,3):** uma vulnerabilidade de estouro de memória no processamento de pacotes pode provocar comportamento inesperado ou incorreto, além de negação de serviço. Afeta todas as implantações do NetScaler ADC e do NetScaler Gateway.
- **CVE-2026-107407 (CVSS: 9,3):** uma vulnerabilidade de estouro de memória no tráfego SMPP pode provocar comportamento inesperado ou incorreto, além de negação de serviço. Afeta o NetScaler ADC configurado com um servidor virtual de balanceamento de carga ou content switching do tipo SMPP.
- **CVE-2026-107408 (CVSS: 9,3):** uma vulnerabilidade de corrupção de memória em DNS e DNS sobre HTTPS (DoH) pode provocar comportamento inesperado ou incorreto, além de negação de serviço. Afeta o NetScaler ADC configurado para balanceamento de carga de DNS e resolução recursiva de DNS.
- **CVE-2026-107409 (CVSS: 9,3):** uma vulnerabilidade de corrupção de memória em DNS sobre HTTPS (DoH) pode provocar comportamento inesperado ou incorreto, além de negação de serviço. Afeta o NetScaler configurado com balanceamento de carga de DNS sobre HTTPS.
- **CVE-2026-107410 (CVSS: 9,3):** um estouro de memória no NetScaler Push pode provocar comportamento inesperado ou incorreto, além de negação de serviço. Afeta o NetScaler configurado como servidor virtual de balanceamento de carga do tipo PUSH.
- **CVE-2026-107412 (CVSS: 9,5):** várias vulnerabilidades de estouro de memória podem provocar comportamento inesperado ou incorreto e negação de serviço. Afetam o NetScaler configurado como Gateway ou como servidor virtual AAA.
- **CVE-2026-107415 (CVSS: 9,3):** uma vulnerabilidade de estouro de memória na autenticação por código de uso único enviado por e-mail pode provocar comportamento inesperado ou incorreto, além de negação de serviço. Afeta o NetScaler ADC ou o NetScaler Gateway configurado com uma ação de e-mail.
- **
CVE-2026-111344
(CVSS: 9,3):** uma vulnerabilidade de estouro de memória na análise de endpoint (EPA/EPAS) pode provocar comportamento inesperado ou incorreto, além de negação de serviço. Afeta o NetScaler configurado como servidor virtual de VPN ou servidor virtual de autenticação (AAA) com análise de endpoint.
- **CVE-2026-120864 (CVSS: 9,3):** uma vulnerabilidade de estouro de memória no proxy ICA pode provocar comportamento inesperado ou incorreto, além de negação de serviço. Afeta o NetScaler configurado como servidor virtual de VPN do Gateway, servidor virtual AAA ou servidor virtual CR do tipo HDX.
As falhas foram corrigidas nas seguintes versões:
- Citrix NetScaler ADC e Citrix NetScaler Gateway 14.1-73.57 e posteriores;
- Citrix NetScaler ADC e Citrix NetScaler Gateway 13.1-64.39 e versões posteriores da linha 13.1;
- Citrix NetScaler ADC 14.1-FIPS 14.1-73.58 FIPS e versões posteriores da linha 14.1-FIPS;
- Citrix NetScaler ADC 13.1-FIPS e 13.1-NDcPP 13.1-37.293 e versões posteriores das linhas 13.1-FIPS e 13.1-NDcPP.
A Citrix também corrigiu falhas no NetScaler Console e no Secure Access Client para Windows e Linux:
- **
CVE-2026-120869
(CVSS: 9,4):** uma vulnerabilidade de autenticação inadequada no NetScaler Console pode permitir que um invasor não autenticado contorne os controles de autenticação e acesse recursos restritos do equipamento. A falha foi corrigida no NetScaler Console 14.1-74.34 e versões posteriores.
- **CVE-2026-118268 (CVSS: 8,5):** uma falha no gerenciamento de privilégios do Secure Access Client para Windows pode permitir que um usuário com poucos privilégios eleve suas permissões até SYSTEM. A falha foi corrigida no Secure Access Client para Windows 26.11.1.6 e versões posteriores.
- **CVE-2026-118269 (CVSS: 8,5):** uma falha no gerenciamento de privilégios do Secure Access Client para Linux pode permitir que um usuário com poucos privilégios obtenha permissões de superusuário. A falha foi corrigida no Secure Access Client para Linux 26.10.4 e versões posteriores.
Segundo a Citrix, as atualizações de segurança foram preparadas após uma análise mais aprofundada da base de código da empresa. O processo incorporou análise de código assistida por inteligência artificial para detectar e corrigir vulnerabilidades, com o objetivo de reforçar a segurança dos produtos antes que possíveis ameaças se concretizem.
A empresa afirmou não ter conhecimento de exploits para nenhuma das vulnerabilidades divulgadas, mas recomendou que os clientes instalem as atualizações. Segundo a Citrix, elas foram desenvolvidas para “reforçar a postura de segurança do NetScaler”.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...