Uma falha crítica de contorno de autenticação nos equipamentos Citrix NetScaler ADC e NetScaler Gateway passou da teoria à prática: depois de semanas de avisos, foram confirmadas tentativas de exploração em ambiente real e as autoridades norte-americanas colocaram-na na lista de vulnerabilidades ativamente exploradas, com prazo de correção a expirar em dias. Segundo o noticiado, a vulnerabilidade — identificada como CVE-2026-19490 — afeta um dos pontos mais sensíveis de qualquer rede empresarial: a porta de entrada do acesso remoto. Em Portugal, o Centro Nacional de Cibersegurança já emitiu alerta próprio sobre o mesmo identificador.
Resposta rápida: A CVE-2026-19490 é uma falha crítica (CVSS 9.3) que permite a um atacante remoto e não autenticado contornar a autenticação em appliances NetScaler ADC e NetScaler Gateway configurados como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ou servidor virtual AAA. A correção existe desde 19 de agosto de 2026, mas foram observadas tentativas de exploração a partir de 3 de setembro, um dia depois da publicação de um exploit no GitHub. Atualize de imediato para 14.1-73.32 ou 13.1-63.21 (ou as versões FIPS/NDcPP equivalentes), termine sessões ativas e procure sinais de acesso não autorizado.
O que está em causa na CVE-2026-19490
A falha foi divulgada num boletim de segurança da Cloud Software Group publicado a 19 de agosto de 2026, no qual a CVE-2026-19490 é descrita como uma vulnerabilidade crítica de contorno de autenticação que afeta o Citrix NetScaler ADC e o NetScaler Gateway, com uma pontuação base CVSS v4.0 de 9.3 e explorável remotamente por um atacante não autenticado, sem interação do utilizador nem privilégios elevados. Tecnicamente, o problema está classificado como CWE-288, ou seja, contorno de autenticação por caminho ou canal alternativo, permitindo a um atacante remoto e não autenticado ultrapassar os controlos de início de sessão e aceder a funcionalidades que normalmente exigem credenciais válidas.
O impacto é agravado pelo lugar que estes equipamentos ocupam na arquitetura das organizações. O NetScaler ADC e o NetScaler Gateway são produtos de rede amplamente instalados no perímetro, com funções de entrega aplicacional, balanceamento de carga, terminação SSL/TLS e acesso remoto seguro; por estarem frequentemente expostos à Internet a partir da DMZ, as falhas de contorno de autenticação em produtos Citrix acabam quase sempre por ser exploradas por atores maliciosos. Foi exatamente isso que a Rapid7 antecipou em agosto, ao recomendar que as organizações tratassem a atualização como uma emergência, por os produtos Citrix serem alvos de elevado valor que tendem a ser rapidamente explorados.
Versões afetadas e builds corrigidas
De acordo com o boletim do fabricante (CTX696939), são afetadas as versões NetScaler ADC e NetScaler Gateway 14.1 anteriores a 14.1-73.32 e 13.1 anteriores a 13.1-63.21; as instalações Secure Private Access Hybrid que usam instâncias NetScaler também são afetadas e têm de ser atualizadas para as builds recomendadas; o boletim aplica-se apenas a NetScaler geridos pelo cliente, uma vez que os serviços cloud geridos pela Citrix e o Adaptive Authentication gerido pela Citrix já receberam as atualizações necessárias. O alerta do CNCS acrescenta a condição prática de exposição: o equipamento é vulnerável quando executa uma versão afetada e tem configurado um Gateway (SSL VPN, ICA Proxy, CVPN ou RDP Proxy) ou um servidor virtual AAA.
| Ramo | Versão vulnerável | Build corrigida |
|---|---|---|
| NetScaler ADC / Gateway 14.1 | anterior a 14.1-73.32 | 14.1-73.32 ou posterior |
| NetScaler ADC / Gateway 13.1 | anterior a 13.1-63.21 | 13.1-63.21 ou posterior |
| NetScaler ADC 14.1-FIPS | anterior a 14.1-73.32 FIPS | 14.1-73.32 FIPS ou posterior |
| NetScaler ADC 13.1-FIPS e 13.1-NDcPP | anterior a 13.1-37.277 | 13.1-37.277 ou posterior |
As builds corrigidas são confirmadas de forma coincidente pelo fabricante, pela Rapid7 e pelo alerta nacional do CNCS. A Rapid7 lista como versões corrigidas o 14.1-73.32 e posteriores, o 13.1-63.21 e posteriores, o 14.1-73.32 FIPS e o 13.1-37.277 para FIPS e NDcPP, e o CNCS indica as mesmas builds na sua recomendação de atualização.
Vale a pena recordar que o mesmo boletim de 19 de agosto corrigiu uma segunda falha. A CVE-2026-19489 (CVSS 8.8) é uma vulnerabilidade de sobrecarga de memória que pode provocar comportamento imprevisível ou negação de serviço, mas apenas se o SIP ALG estiver ativado numa configuração de grupo LSN.
Cronologia: da correção ao exploit público
| Data (2026) | Acontecimento |
|---|---|
| 19 de agosto | Publicação do boletim de segurança e das builds corrigidas; sem indícios de exploração nessa data |
| 2 de setembro | Publicação de um exploit no GitHub dirigido à falha |
| 3 de setembro | Primeiras tentativas de exploração observadas em sensores de telemetria |
| 4-5 de setembro | Alerta do centro de cibersegurança da Bélgica a pedir prioridade na correção |
| 9 de setembro | Inclusão no catálogo de vulnerabilidades exploradas da CISA |
| 12 de setembro | Prazo-limite de remediação para as agências federais norte-americanas |
A sequência está documentada. A 19 de agosto de 2026 a Rapid7 ainda não tinha observado indícios de exploração da CVE-2026-19490, mas a exploração decorre desde pelo menos 3 de setembro, um dia depois de ter sido publicado no GitHub um exploit dirigido à falha. A empresa de inteligência de ameaças Previdian detalhou a telemetria: a 3 de setembro reportou tentativas de exploração contra os seus sensores NetScaler, com 10 tentativas provenientes de seis endereços IP únicos na Austrália, Alemanha, Japão e Estados Unidos, sublinhando que a avaliação aponta para tentativas de exploração mas não confirma o comprometimento efetivo de sistemas reais.
Entretanto, o Centre for Cybersecurity Belgium, centro nacional de coordenação de cibersegurança daquele país, também alertou para tentativas de exploração da CVE-2026-19490 e instou os administradores a darem prioridade à atualização de todos os appliances vulneráveis. A CISA acabou por formalizar o risco: a agência acrescentou a vulnerabilidade ao catálogo Known Exploited Vulnerabilities, impondo às agências federais um prazo de três dias ao abrigo da diretiva BOD 26-04; a falha afeta todos os appliances configurados como gateway — incluindo SSL VPN, ICA Proxy, CVPN e RDP Proxy — ou como servidor virtual AAA, tendo a Citrix disponibilizado a correção a 19 de agosto. O prazo fixado para a remediação federal é 12 de setembro de 2026.
Não há IOCs públicos: o que procurar afinal
Ao contrário de campanhas de malware, esta vulnerabilidade não tem, até ao momento, uma lista pública de indicadores de comprometimento associados a uma campanha específica. Não foram publicados IOCs específicos de campanha nas divulgações citadas, pelo que as equipas de defesa devem concentrar-se na configuração dos appliances, na telemetria de autenticação, em comportamentos anómalos de acesso remoto e em evidências de sessões não autorizadas, em vez de esperarem por endereços IP, domínios ou hashes conhecidos. Na prática, isto significa procurar sessões que existem sem um evento de autenticação correspondente, acessos a recursos internos fora do horário habitual e alterações inesperadas na configuração do equipamento.
A dimensão do problema é relevante à escala global. O observatório Shadowserver monitoriza mais de 22 mil appliances NetScaler ADC e cerca de 1700 instâncias Gateway expostas na Internet, sem que seja conhecido quantos são honeypots ou têm configurações vulneráveis — um universo onde se incluem, necessariamente, organizações portuguesas.
Passos concretos de mitigação
- Inventariar todos os NetScaler ADC e Gateway geridos internamente, incluindo instâncias associadas a instalações Secure Private Access Hybrid, e confirmar a build em execução.
- Atualizar para
14.1-73.32,13.1-63.21ou as builds FIPS/NDcPP equivalentes, em regime de emergência e não de manutenção planeada. - Verificar se o equipamento tem um Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ou um servidor virtual AAA configurado — é essa a condição que torna o sistema explorável.
- Seguir a recomendação do CNCS de restringir o acesso à interface de administração do NetScaler e limitar a exposição do serviço Gateway à Internet ao estritamente necessário.
- Após atualizar, fazer triagem forense: rever registos de autenticação, sessões ativas, contas administrativas e ficheiros de configuração. Corrigir sem investigar pode deixar um intruso já instalado.
- Confirmar com fornecedores de serviços geridos se as instâncias que administram em nome da organização já foram atualizadas.
Porque é que isto importa em Portugal
Equipamentos como o NetScaler são a espinha dorsal do teletrabalho e do acesso a aplicações internas em hospitais, autarquias, universidades, retalho e serviços financeiros. Um contorno de autenticação neste ponto anula, de uma só vez, a política de palavras-passe, a segmentação lógica e boa parte do valor do controlo de acessos. Para as organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades e a correção atempada de sistemas expostos deixaram de ser boa prática para passarem a ser obrigação, com deveres de notificação de incidentes significativos ao CNCS/CERT.PT em prazos curtos e responsabilidade direta dos órgãos de gestão.
Há ainda a dimensão de proteção de dados. Se um acesso não autorizado através de um gateway VPN resultar na exposição de dados pessoais — credenciais, dados de clientes, informação clínica ou de recursos humanos —, aplicam-se as obrigações do RGPD, incluindo a avaliação do risco para os titulares e a eventual notificação à CNPD no prazo de 72 horas. Para as PME, a mensagem é mais simples: se a empresa tem um portal de acesso remoto Citrix publicado na Internet, esta é uma tarefa para esta semana, não para o próximo ciclo de manutenção. O facto de o alerta nacional já existir e de a falha estar num catálogo internacional de vulnerabilidades exploradas retira qualquer margem para argumentar desconhecimento.
Perguntas frequentes
O que é a CVE-2026-19490?
É uma vulnerabilidade crítica de contorno de autenticação (CWE-288) no Citrix NetScaler ADC e NetScaler Gateway, com CVSS 9.3, que pode ser explorada remotamente por um atacante sem credenciais nem interação do utilizador. Foi corrigida a 19 de agosto de 2026.
Como sei se o meu equipamento está vulnerável?
Se executar uma versão anterior a 14.1-73.32 ou 13.1-63.21 (ou às builds FIPS/NDcPP equivalentes) e tiver configurado um Gateway (SSL VPN, ICA Proxy, CVPN ou RDP Proxy) ou um servidor virtual AAA, está vulnerável. Os serviços cloud geridos pela Citrix já foram atualizados pelo fabricante.
Basta aplicar a atualização?
A atualização é o passo essencial, mas não encerra o assunto. Como há tentativas de exploração observadas desde 3 de setembro, recomenda-se rever registos de autenticação, sessões ativas, contas administrativas e configurações do appliance à procura de sinais de acesso não autorizado.
Tenho de notificar alguma entidade se for comprometido?
Depende do enquadramento. Entidades abrangidas pelo Regime Jurídico da Cibersegurança têm deveres de notificação de incidentes significativos ao CNCS/CERT.PT e, se houver violação de dados pessoais, aplicam-se as regras do RGPD, incluindo a eventual notificação à CNPD em 72 horas.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Cloud Software Group/Citrix, pela CISA, pelo CNCS, pelo Centre for Cybersecurity Belgium e pelos investigadores da Rapid7 e da Previdian.