Citrix NetScaler: falha crítica em SAML pode permitir execução de código e indisponibilidade
A Citrix divulgou em 8 de outubro de 2026 um alerta sobre a CVE-2026-107406, vulnerabilidade crítica que afeta determinados equipamentos NetScaler ADC e NetScaler Gateway. A falha está relacionada à autenticação SAML e pode, em condições específicas, permitir execução remota de código ou causar indisponibilidade do dispositivo.
O problema decorre de um estouro de memória. A exposição depende da combinação entre a versão instalada e o papel que o equipamento desempenha na federação SAML. Por isso, não basta verificar se a empresa utiliza NetScaler: é necessário identificar as compilações em uso e conferir como cada instância foi configurada.
A importância do alerta está no lugar que esses equipamentos ocupam na infraestrutura. NetScaler ADC e Gateway podem controlar o acesso de funcionários, fornecedores e parceiros a serviços corporativos. Uma interrupção pode prejudicar várias aplicações ao mesmo tempo. Já a possibilidade de execução de código representa um risco adicional, pois um dispositivo comprometido pode servir de ponto de partida para outras ações maliciosas. Esses são impactos potenciais, não uma confirmação de que tenham ocorrido em todos os ambientes.
O papel do SAML na exposição
O SAML permite que sistemas compartilhem informações de autenticação. No processo, o NetScaler pode atuar como provedor de identidade, ou IdP, emitindo declarações usadas por aplicações, ou como provedor de serviço, ou SP, recebendo a autenticação encaminhada por um IdP.
A vulnerabilidade não significa, por si só, que declarações SAML possam ser falsificadas ou que todas as sessões estejam comprometidas. O alerta descreve uma falha de memória que, dependendo da configuração e das condições de exploração, pode levar à execução de código ou à negação de serviço. Essa distinção é importante para orientar a investigação e evitar conclusões sem evidências.
Quais versões devem ser verificadas
A Citrix informa que, nas versões anteriores a 14.1-73.37 e 13.1-64.23, o risco pode existir quando o equipamento está configurado como SP ou IdP. Já nas faixas de 14.1-73.37 a 14.1-73.41 e de 13.1-64.23 a 13.1-64.28, inclusive, a condição indicada se limita a equipamentos que atuam como IdP.
O boletim também apresenta intervalos próprios para as edições FIPS. Como as versões e as condições variam, organizações não devem presumir que appliances da mesma família tenham exposição idêntica. É preciso comparar a compilação de cada dispositivo com os intervalos descritos para a edição correspondente.
Para reconhecer a função habilitada, a orientação é procurar, na configuração, a declaração `add authentication samlAction`, associada ao papel de SP, e `add authentication samlIdPProfile`, relacionada à operação como IdP. Essa checagem deve ser feita junto com o inventário de versões, não em substituição a ele.
Correções e prioridades para as equipes
As versões indicadas para corrigir a falha são 14.1-73.46 ou posteriores e 13.1-64.29 ou posteriores, conforme o ramo utilizado. Para NetScaler ADC FIPS, a Citrix especifica 14.1-73.46 FIPS e 13.1-37.283 FIPS/NDcPP. A escolha do pacote deve respeitar a plataforma instalada: as numerações de versões comuns e FIPS não são intercambiáveis.
A recomendação é priorizar os equipamentos expostos à internet e aqueles que participam de autenticação de aplicações críticas. Antes da atualização, a equipe deve confirmar a versão, identificar a função SAML, consultar os requisitos de compatibilidade e planejar uma janela de manutenção. Depois da instalação, é importante verificar se o dispositivo voltou a operar corretamente e se a configuração de autenticação foi preservada.
A análise deve abranger mais do que o appliance principal. Nós de alta disponibilidade, equipamentos de contingência e instâncias usadas em projetos Secure Private Access Hybrid também precisam ser inventariados. Um nó secundário esquecido pode manter o ambiente vulnerável ou assumir o tráfego durante uma falha do sistema principal.
Atualização não substitui investigação
A Citrix esclarece que o alerta se aplica a instâncias administradas pelos próprios clientes. Serviços de nuvem gerenciados pela empresa recebem atualizações sob responsabilidade do fornecedor. Mesmo assim, as organizações devem confirmar quais componentes estão sob sua administração e quais são mantidos pelo provedor.
A falha também deve ser analisada separadamente das CVE-2026-88771 e CVE-2026-88772, divulgadas semanas antes. Alertas de centros nacionais de resposta a incidentes da Austrália e do Canadá indicaram que as correções anteriores não eliminam automaticamente a CVE-2026-107406. Portanto, ter aplicado um patch para aquelas vulnerabilidades não comprova que o NetScaler esteja protegido contra esta falha.
Após corrigir os sistemas, vale revisar registros de acesso e eventos do NetScaler, procurando comportamentos incomuns no período anterior à atualização. A investigação deve considerar tentativas inesperadas de autenticação, interrupções sem explicação e alterações não autorizadas na configuração. A presença de indícios deve ser avaliada por profissionais de segurança, sem presumir comprometimento apenas porque uma versão vulnerável estava instalada.
Também é recomendável registrar quais instâncias foram verificadas, quais versões receberam atualização e quais medidas ainda estão pendentes. Esse controle ajuda a evitar que appliances temporariamente fora de serviço, usados em contingência ou mantidos por equipes diferentes fiquem fora do processo.
A CVE-2026-107406 exige uma resposta coordenada entre administração de rede, segurança e responsáveis pelas aplicações autenticadas via SAML. Identificar a função do equipamento, aplicar a correção adequada e validar o ambiente depois da mudança são etapas essenciais para reduzir o risco de indisponibilidade e de exploração.