A Citrix e a Ivanti anunciaram na terça-feira correções para 19 vulnerabilidades em seus produtos, incluindo múltiplas falhas de gravidade crítica e alta.
A Ivanti corrigiu 13 vulnerabilidades em cinco produtos, incluindo dois defeitos de gravidade crítica no Cloud Services Application (CSA) e no Endpoint Manager (EPM).
Registrada como CVE-2026-121683 (Common Vulnerabilities and Exposures), com pontuação CVSS de 9,4 (Common Vulnerability Scoring System), a falha no CSA é descrita como um problema de falta de autenticação que poderia permitir que atacantes remotos e não autenticados “adicionem e excluam entradas arbitrárias de certificados confiáveis do EPM Core”.
A versão 5.0.8.1 do CSA corrige a falha. Implantações que usam configuração com Dual NIC (duas placas de rede) não podem ser exploradas externamente, segundo a Ivanti.
O defeito crítico no EPM, registrado como CVE-2026-121653 (pontuação CVSS de 9,8), é uma falha de injeção de SQL (linguagem de consulta estruturada) que pode levar à execução remota de código (RCE, do inglês remote code execution) sem autenticação.
Ela foi corrigida na versão 2024 SU8 do EPM, que também trata uma falha de gravidade média na transmissão de informações sensíveis sem criptografia, explorável por meio de ataques MitM (man-in-the-middle).
A Ivanti lançou correções para quatro vulnerabilidades no Sentry, incluindo uma falha de execução remota de código (RCE) de alta gravidade. Registrada como CVE-2026-105425, a falha também foi corrigida no Endpoint Manager Mobile (EPMM), junto com cinco problemas de gravidade média.
Na terça-feira, a empresa também corrigiu um defeito de gravidade média no User Workspace Manager (UWM). A Ivanti afirma não ter evidências de que qualquer uma dessas vulnerabilidades tenha sido explorada na natureza.
A Citrix liberou correções para seis defeitos de segurança no XenServer, incluindo o CVE-2026-102705, uma falha de alta gravidade que poderia permitir que atacantes deduzissem o Pool Secret e comprometessem o host.
Os outros cinco problemas podem levar à escalonamento de privilégios ou permitir que administradores com qualquer função encerrem tarefas em execução de outras funções.
Além disso, a Citrix lançou atualizações do XenServer que mitigam várias vulnerabilidades em processadores AMD (CPU, unidade central de processamento) que poderiam permitir que máquinas virtuais (VMs) convidadas comprometessem o host ou deduzissem o conteúdo ativo da memória de outra VM.
