A Citrix anunciou na quinta-feira correções para 28 vulnerabilidades no NetScaler ADC (Application Delivery Controller) e no NetScaler Gateway, incluindo nove falhas de severidade crítica.
As falhas críticas decorrem de problemas de estouro de memória no processamento de pacotes, no tráfego SMPP (Short Message Peer-to-Peer), no DNS (Sistema de Nomes de Domínio) e no DNS sobre HTTPS (DoH), no NetScaler Push, na autenticação por OTP (senha de uso único) por e-mail, na análise de endpoints (EPA/EPAS) e no proxy ICA (Independent Computing Architecture). Elas podem levar a comportamento imprevisível ou errôneo e a condições de negação de serviço (DoS).
Elas são rastreadas pelos identificadores CVE (Common Vulnerabilities and Exposures) CVE-2026-120868, CVE-2026-107407 a CVE-2026-107410, CVE-2026-107412, CVE-2026-107415, CVE-2026-111334 e CVE-2026-120864.
A maior parte das 19 falhas de segurança restantes são fragilidades de severidade alta que levam a resultados semelhantes. A Citrix também corrigiu várias falhas de severidade média, incluindo a CVE-2026-111338, que expõe dados sensíveis de autenticação em um arquivo de log.
As versões 14.1-73.57 e posteriores, 13.1-64.39 e posteriores, 14.1-73.58 FIPS (Federal Information Processing Standards) e posteriores, e 13.1-FIPS e 13.1-NDcPP (Network Device collaborative Protection Profile) 13.1-37.293 e posteriores do NetScaler ADC e do Gateway contêm as correções relevantes.
A Citrix orienta os clientes a atualizar suas instâncias o quanto antes e detalha as pré-condições de CVE associadas a algumas das vulnerabilidades.
Na quinta-feira, a empresa também anunciou correções para uma falha crítica no NetScaler Console. Identificada como CVE-2026-120869, com pontuação CVSS (Common Vulnerability Scoring System) de 9,4, ela pode permitir que atacantes não autenticados contornem controles e acessem recursos restritos.
A falha afeta todas as versões do NetScaler Console 14.1 anteriores à 14.1-74.34.
A Citrix não menciona qualquer exploração dessas vulnerabilidades em ataques reais, mas falhas no NetScaler são um alvo frequente de atacantes.
