Quem administra equipamentos Citrix NetScaler tem uma nova ronda de atualizações urgentes pela frente. O pacote de 12 de novembro de 2026 soma 28 falhas de memória só no NetScaler ADC e no NetScaler Gateway, segundo a contagem do CERT-EU. Juntam-se-lhes um contorno de autenticação na NetScaler Console e duas falhas de elevação de privilégios no cliente Secure Access. Nenhuma revisão de funcionalidades iliba um equipamento da CVE-2026-120868: a configuração de origem já basta para ficar exposto.
Resposta rápida: A Citrix corrigiu a 12 de novembro de 2026 dezenas de vulnerabilidades no NetScaler ADC, Gateway e Console e no cliente Secure Access, várias com CVSS acima de 9. Uma delas, a CVE-2026-120868, afeta todas as instalações, mesmo na configuração por omissão. Não há exploração conhecida, mas a recomendação é atualizar já para as versões 14.1-73.57 ou 13.1-64.39 (ADC e Gateway) e 14.1-74.34 (Console).
O que foi corrigido
O número 12 que tem circulado na imprensa especializada corresponde apenas às falhas de maior gravidade. No ADC e no Gateway, o grupo mais grave reúne nove identificadores, todos pontuados com 9,3 ou 9,5 na escala CVSS. Somando a falha na Console e as duas no cliente Secure Access, a contagem total chega aos 31 identificadores CVE, repartidos por quatro boletins.
O pior cenário documentado para o ADC e o Gateway fica-se pela indisponibilidade do serviço ou por comportamento errático do equipamento, sem menção a execução de código. A origem desta vaga de correções está numa auditoria aprofundada ao código, apoiada por ferramentas de análise com inteligência artificial, segundo a empresa.
| CVE | CVSS | Problema | Condição para estar exposto |
|---|---|---|---|
CVE-2026-107412 | 9,5 | Vários transbordos de memória | Funcionalidade Gateway ou servidor virtual AAA ativa |
CVE-2026-120868 | 9,3 | Transbordo de memória no processamento de pacotes | Nenhuma: configuração por omissão |
CVE-2026-107407 | 9,3 | Transbordo de memória em tráfego SMPP | Servidor virtual de balanceamento ou content switching do tipo SMPP |
CVE-2026-107408 | 9,3 | Corrupção de memória no tratamento de DNS | Funcionalidades DNS (ver boletim) |
CVE-2026-107409 | 9,3 | Corrupção de memória em DNS sobre HTTPS | Balanceamento DNS sobre HTTPS |
CVE-2026-107410 | 9,3 | Transbordo de memória no NetScaler Push | Servidor virtual de balanceamento do tipo PUSH |
CVE-2026-120869 | 9,4 (boletim) / 9,3 (registo CVE) | Autenticação incorreta na NetScaler Console | Acesso de rede ao IP da Console |
CVE-2026-118268 | 8,5 | Elevação de privilégios até SYSTEM (cliente Windows) | Conta local normal na máquina |
CVE-2026-118269 | 8,5 | Elevação de privilégios até root (cliente Linux) | Conta local normal na máquina |
A Console de gestão também está em causa
A NetScaler Console é a plataforma que centraliza a administração dos equipamentos. Com a CVE-2026-120869, recursos reservados dessa plataforma ficam ao alcance de quem nunca iniciou sessão. A única barreira é a acessibilidade de rede ao endereço IP da Console. A pontuação diverge consoante a fonte: 9,4 nas descrições do boletim e 9,3 no registo CVE submetido pela própria NetScaler.
Nos postos de trabalho, o risco é local. Permissões SYSTEM no Windows (CVE-2026-118268) e root no Linux (CVE-2026-118269) passam a estar ao alcance de contas comuns nas máquinas com versões antigas do cliente Secure Access.
Versões afetadas e versões corrigidas
| Produto | Vulnerável | Corrigido em |
|---|---|---|
| NetScaler ADC e Gateway 14.1 | Anterior a 14.1-73.57 | 14.1-73.57 ou posterior |
| NetScaler ADC e Gateway 13.1 | Anterior a 13.1-64.39 | 13.1-64.39 ou posterior |
| NetScaler ADC 14.1-FIPS | Anterior a 14.1-73.58 FIPS | 14.1-73.58 FIPS ou posterior |
| NetScaler ADC 13.1-FIPS e NDcPP | Anterior a 13.1-37.293 | 13.1-37.293 ou posterior |
| NetScaler Console 14.1 | Anterior a 14.1-74.34 | 14.1-74.34 ou posterior |
| Secure Access Client para Windows | Anterior a 26.11.1.6 | 26.11.1.6 ou posterior |
| Secure Access Client para Linux | Anterior a 26.10.4 | 26.10.4 ou posterior |
A responsabilidade de atualizar recai apenas sobre instalações administradas pelo próprio cliente. O mesmo trabalho espera quem usa instâncias NetScaler em implementações híbridas do Secure Private Access.
Há ataques em curso?
Ataques que tirem partido destas falhas continuam por registar, segundo a Citrix, e também não circula código de demonstração público confirmado. Por essa razão, não existem indicadores de comprometimento (IOCs) associados a este conjunto de vulnerabilidades.
O historial recente da plataforma aconselha, ainda assim, rapidez. O boletim CTX697096, de 27 de setembro, trouxe as correções para duas falhas de execução remota de código que já estavam a ser usadas em ataques, e a entrada de ambas no catálogo KEV da CISA aconteceu nesse mesmo dia. Esse catálogo já tinha recebido três outras entradas NetScaler em 2026: a CVE-2026-3055 em março, a CVE-2026-8452 em agosto e a CVE-2026-19490 em setembro.
| Data | Acontecimento |
|---|---|
| 27 de setembro de 2026 | Oito vulnerabilidades corrigidas no ADC e Gateway, duas delas de execução remota de código com exploração ativa confirmada |
| 8 de outubro de 2026 | Boletim crítico para a CVE-2026-107406 (CVSS 9,5), com risco de execução remota de código em certas configurações |
| 3 de novembro de 2026 | Reserva do identificador CVE-2026-120869 |
| 12 de novembro de 2026 | Novos boletins da Cloud Software Group e aviso 2026-020 do CERT-EU |
O que fazer agora
- Confirmar a versão instalada em cada equipamento (comando
show version) e compará-la com a tabela acima. - A prioridade recai sobre os equipamentos Gateway e AAA expostos à Internet, onde as duas falhas mais graves dispensam autenticação.
- Atualizar a NetScaler Console e garantir que a interface de gestão só é acessível a partir de redes de administração.
- Distribuir as novas versões do cliente Secure Access pelos postos Windows e Linux.
- Para as falhas dependentes de funcionalidades, o boletim do ADC inclui verificações de configuração por CVE, úteis para ordenar a intervenção.
- Um equipamento comprometido em setembro continua comprometido depois de atualizado, pelo que quem aplicou tarde essas correções deve procurar sinais de intrusão.
- A rotação rápida dos registos locais ameaça os vestígios forenses, razão pela qual o envio para um SIEM ou repositório central consta das orientações da CISA.
Porque importa em Portugal
O NetScaler está tipicamente na fronteira da rede, a servir acesso remoto e a publicar aplicações internas. Uma negação de serviço neste ponto pode deixar uma organização sem teletrabalho e sem serviços expostos ao exterior. Um contorno de autenticação na consola de gestão pode abrir caminho à alteração de configurações.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades faz parte das medidas de gestão de risco exigidas. Os incidentes com impacto significativo devem ser notificados ao CNCS, através do CERT.PT. Se uma intrusão envolver dados pessoais, aplicam-se também as obrigações do RGPD, incluindo a eventual notificação à CNPD.
As PME que recorrem a prestadores externos para gerir estes equipamentos devem pedir confirmação escrita da versão instalada e da data de atualização.
Perguntas frequentes
Que versões do NetScaler corrigem estas falhas?
No ADC e no Gateway, as correções chegam com as compilações 14.1-73.57 e 13.1-64.39, ou posteriores, e 14.1-73.58 para a variante 14.1-FIPS. Na Console, a versão de destino é a 14.1-74.34.
As vulnerabilidades já estão a ser exploradas?
Exploração destas falhas é algo de que a empresa diz não ter conhecimento. Outras vulnerabilidades do NetScaler foram, porém, usadas em ataques ao longo de 2026, o que justifica atualizar sem demora.
Tenho de fazer alguma coisa se uso os serviços cloud da Citrix?
Os boletins do NetScaler ADC e Gateway visam instalações geridas pelo cliente. Quem tem equipamentos próprios, incluindo em implementações híbridas do Secure Private Access, tem de aplicar as atualizações. O cliente Secure Access instalado nos postos de trabalho deve ser atualizado em qualquer cenário.
Existem indicadores de comprometimento para estas falhas?
Não foram divulgados, uma vez que não há exploração conhecida. Para as falhas exploradas em setembro, a NetScaler Console disponibiliza uma verificação de indicadores de comprometimento fornecida pela Citrix.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Citrix/Cloud Software Group (boletins de segurança de 12 de novembro de 2026 e página da equipa NetScaler Cyber Threat Intelligence), pelo CERT-EU (aviso 2026-020) e pelo Centro Canadiano para a Cibersegurança (aviso AV26-1150). O contexto anterior baseia-se no boletim CTX697096 da Citrix, no aviso 2026-014 do CERT-EU, no alerta da CISA e na análise da watchTowr.