Estouro de memória condicionado a SAML no NetScaler — CVE-2026-88779 no KEV (prazo 7 de outubro)
A Citrix divulgou uma falha de limites de buffer de memória no NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). A Citrix diz que observou ataques direcionados contra implantações sem mitigação que podem levar à negação de serviço. A inclusão no KEV da CISA estabelece a exploração da vulnerabilidade, e a descrição curta diz que a falha poderia permitir negação de serviço. Nenhuma das fontes confirma que as implantações afetadas foram de fato interrompidas. A CISA adicionou a entrada em 4 de outubro, com prazo federal de 7 de outubro. Junto com CVE-2026-88771 e CVE-2026-88772 (ambas adicionadas em 27 de setembro), é a terceira entrada KEV do NetScaler adicionada em duas semanas, não a terceira histórica do produto (o catálogo já inclui entradas anteriores, entre elas CVE-2023-4966). As assinaturas Global Deny List (v24 ou posterior) são a mitigação intermediária, e a correção está em 14.1-73.41 / 13.1-64.28 ou posterior.
Este artigo foi traduzido por máquina.
Em 3 de outubro (Horário de Verão do Pacífico), a Citrix publicou o CVE-2026-88779 para o NetScaler ADC (anteriormente Citrix ADC) e o NetScaler Gateway (anteriormente Citrix Gateway) no boletim de segurança CTX697174 e em um artigo explicativo da comunidade. A falha é classificada como CWE-119 (Restrição inadequada de operações dentro dos limites de um buffer de memória), com pontuação base CVSS v4.0 de 8.7 (CNA: NetScaler). O problema afeta implantações de NetScaler gerenciadas pelo cliente que utilizam autenticação SAML em conjunto com a funcionalidade Gateway ou AAA. As versões afetadas são ADC e Gateway 14.1 anteriores a 14.1-73.41 e 13.1 anteriores a 13.1-64.28, ADC FIPS anterior a 14.1-73.41 FIPS, e ADC FIPS e NDcPP anteriores a 13.1-37.282 (Citrix CTX697174; NVD publicado em 4 de outubro de 2026). A Citrix afirma ter observado ataques direcionados contra implantações sem mitigação que podem levar à negação de serviço. A descrição curta do KEV da CISA diz que a falha poderia permitir negação de serviço, e a inclusão estabelece a exploração da vulnerabilidade. Nenhuma das fontes confirma que as implantações afetadas foram interrompidas. A análise da Citrix não identificou impacto na integridade dos dados do cliente.
A CISA adicionou a vulnerabilidade ao seu catálogo KEV em 4 de outubro, dando às agências civis federais até 7 de outubro para responder (BOD 26-04, três dias após a inclusão). As notas do KEV exigem a aplicação de mitigações direcionadas pelo fabricante em conformidade com o BOD 26-04 e os Requisitos de Triagem Forense da CISA; a triagem forense está marcada como Sim e o uso conhecido em campanhas de ransomware é Desconhecido (catálogo KEV da CISA 2026.10.04, total de 1.734 entradas). A Citrix propõe uma verificação de configuração para os pré-requisitos: uma implantação atende a eles se estiver configurada como SAML SP (add authentication samlAction) ou como SAML IdP (add authentication samlIdPProfile). As assinaturas da Global Deny List fornecidas pela Citrix (v24 ou posterior) estão disponíveis na versão 14.1-73.37 ou posterior até antes da 14.1-73.41, e na 13.1-64.23 ou posterior até antes da 13.1-64.28, com o virtual patching do NetScaler Console habilitado e uma Encrypted Version visível em show appfw signatures.
Análise (separada da reportagem): as duas entradas KEV adicionadas em 27 de setembro não são condicionadas a SAML. A CTX697096 diz que CVE-2026-88771 (validação inadequada de entrada que poderia permitir a um atacante não autenticado executar comandos arbitrários) afeta todas as implantações de NetScaler ADC e NetScaler Gateway, inclusive a configuração padrão, sem recurso adicional necessário. A CTX697096 diz que CVE-2026-88772 (um estouro de memória que pode levar a execução remota de código ou negação de serviço) exige DTLS, habilitado por padrão em um VPN vServer. Junto com CVE-2026-88779, adicionada em 4 de outubro, são três entradas KEV do NetScaler adicionadas em duas semanas. O catálogo já contém entradas anteriores do NetScaler, incluindo CVE-2023-4966 (adicionada em 18 de outubro de 2023), portanto não é a terceira entrada histórica do produto. A Citrix não diz se as três compartilham uma causa raiz. Os serviços em nuvem gerenciados pela Citrix ficam fora do boletim para implantações gerenciadas pelo cliente.
Implicações para defensores: (1) se seu ambiente tiver configuração de SAML SP ou IdP, verifique imediatamente a versão implantada contra o CTX697174 e atualize o 14.1 para 14.1-73.41 ou posterior, o 13.1 para 13.1-64.28 ou posterior, e FIPS / NDcPP para 14.1-73.41 FIPS / 13.1-37.282 ou posterior; ambientes que já foram atualizados para o CTX697096 (o boletim do CVE-2026-88771 ao CVE-2026-88778) ainda precisam de outra atualização se atenderem aos pré-requisitos. (2) Como mitigação intermediária até a atualização, aplique as assinaturas Global Deny List (v24 ou posterior) e verifique os contadores com stat denylist global AAA_REQUEST. O procedimento de verificação da Citrix diz que um valor maior que zero indica que as regras estão funcionando. (3) As notas do KEV definem forensicTriage como Yes e exigem triagem forense segundo o BOD 26-04. Para esta vulnerabilidade, a pré-condição da CTX697174 é um SAML SP (add authentication samlAction) ou um SAML IdP (add authentication samlIdPProfile). CVE-2026-88771 e CVE-2026-88772 têm pré-condições diferentes na CTX697096.