INCIBE alerta para seis falhas no Citrix NetScaler

Alerta do INCIBE sobre o NetScaler

O Instituto Nacional de Cibersegurança da Espanha, INCIBE, publicou em 3 de julho de 2026 um alerta sobre seis vulnerabilidades no Citrix NetScaler ADC e no NetScaler Gateway. Cinco delas foram classificadas como de severidade alta e uma como média, de acordo com o aviso reproduzido pelo Moncloa.com e com a notificação técnica do INCIBE-CERT.

As falhas permitem leitura de memória e negação de serviço. O INCIBE-CERT informou ainda que elas afetam dispositivos NetScaler expostos à internet e que um atacante remoto não autenticado pode provocar negações de serviço e acesso não autorizado a informações em memória, um cenário particularmente sensível para ambientes de publicação de aplicativos críticos e acesso remoto corporativo.

Versões afetadas e patch recomendado

Segundo o alerta, as versões afetadas são NetScaler ADC e NetScaler Gateway 14.1 anteriores à 14.1-72.61, as ramificações 13.1 anteriores à 13.1-63.18, as edições FIPS do NetScaler ADC anteriores à 14.1-72.61 FIPS e as configurações com compatibilidade NDcPP anteriores à 13.1-37.272.

Citrix, citada pelo INCIBE, recomenda atualizar imediatamente para as versões corrigidas 14.1-72.61, para a linha 14.1, e 13.1-63.18, para a 13.1, além de suas equivalentes FIPS e NDcPP. A empresa afirma que a aplicação de patches é o único mecanismo confiável para neutralizar os vetores de ataque descritos e que não foram documentadas medidas paliativas eficazes.

Status da investigação

O INCIBE afirmou que a Citrix mantém aberta a investigação sobre uma possível exploração ativa dessas vulnerabilidades no NetScaler. Até o momento da publicação, porém, não havia confirmação de nenhum ataque bem-sucedido que as tivesse utilizado.

O aviso oficial do INCIBE-CERT segue na mesma linha e ressalta que, por enquanto, não há registro de exploração ativa conhecida. A notificação técnica acrescenta que as organizações devem coordenar com suas equipes de rede e segurança a aplicação imediata das versões corrigidas e verificar, após o patch, a recuperação correta dos serviços publicados.