This post is also available in: Português
A CVE-2026-8451 é uma vulnerabilidade de alta severidade que afeta o NetScaler ADC e o NetScaler Gateway, soluções amplamente utilizadas para entrega de aplicações, balanceamento de carga, acesso remoto seguro e federação de identidade em ambientes corporativos. Classificada com CVSS de 8.8, a falha permite que um invasor remoto provoque uma leitura excessiva da memória do equipamento, potencialmente expondo informações sensíveis armazenadas em memória.
A descoberta chamou atenção da comunidade de segurança por apresentar características semelhantes às vulnerabilidades da família CitrixBleed, responsáveis por diversos incidentes de grande impacto nos últimos anos. Poucas horas após a divulgação pública das correções, pesquisadores já identificavam atividades de varredura e tentativas de exploração na internet, reforçando a necessidade de atualização imediata dos sistemas afetados.
O que é a Citrix e o NetScaler?
A Citrix, atualmente pertencente ao Cloud Software Group, é uma das empresas mais conhecidas no mercado de infraestrutura digital, virtualização e entrega de aplicações. Seus produtos são utilizados por organizações de todos os portes para fornecer acesso seguro a aplicações corporativas, proteger serviços publicados na internet e otimizar o desempenho de ambientes híbridos e em nuvem.
Entre seus principais produtos estão o NetScaler ADC (Application Delivery Controller) e o NetScaler Gateway.
O NetScaler ADC atua como um controlador de entrega de aplicações, oferecendo recursos como balanceamento de carga, aceleração de aplicações, proteção contra ataques e gerenciamento inteligente do tráfego de rede.
Já o NetScaler Gateway fornece acesso remoto seguro para usuários internos e externos, permitindo conexões VPN, Single Sign-On (SSO), autenticação multifator e integração com diversos provedores de identidade.
Por estarem posicionados na borda da infraestrutura e frequentemente expostos à internet, esses dispositivos costumam ser alvos prioritários de agentes maliciosos.
O que é a CVE-2026-8451?
A CVE-2026-8451 descreve uma vulnerabilidade causada por validação insuficiente de entrada, classificada na CWE-125: Out-of-Bounds Read. Em determinadas condições, um invasor consegue enviar requisições especialmente elaboradas que fazem o equipamento ler regiões de memória além dos limites esperados.
Embora a falha não permita modificar diretamente os dados do sistema, ela pode revelar informações confidenciais que permanecem na memória do equipamento durante sua operação.
O problema ocorre especificamente quando o NetScaler está configurado para atuar como SAML Identity Provider (SAML IdP), funcionalidade utilizada em arquiteturas de autenticação federada e Single Sign-On.
Segundo o boletim oficial, a vulnerabilidade pode ser explorada remotamente sem necessidade de autenticação ou interação do usuário.
Entendendo a CWE-125
A vulnerabilidade está associada à CWE-125, conhecida como Out-of-Bounds Read. Esse tipo de falha acontece quando um software acessa posições de memória que estão fora da região originalmente destinada aos dados que deveriam ser processados.
Na prática, em vez de limitar a leitura apenas ao conteúdo esperado, a aplicação continua lendo áreas adjacentes da memória. Dependendo do contexto, essas regiões podem conter informações extremamente sensíveis.
Entre os dados potencialmente expostos estão:
- Tokens de sessão;
- Credenciais temporárias;
- Informações de autenticação;
- Dados internos utilizados pelo próprio processo;
- Partes de requisições processadas anteriormente.
Esse comportamento torna vulnerabilidades desse tipo especialmente perigosas em equipamentos responsáveis por autenticação e controle de acesso.
Qual é o impacto da vulnerabilidade?
O impacto da CVE-2026-8451 está diretamente relacionado ao vazamento de informações presentes na memória do equipamento. Como dispositivos NetScaler frequentemente processam autenticações corporativas, conexões VPN e sessões SSO, existe a possibilidade de exposição de dados capazes de facilitar ataques posteriores.
Dependendo das informações obtidas, um invasor pode utilizar os dados vazados para sequestrar sessões autenticadas, coletar credenciais temporárias ou aprofundar uma invasão já iniciada.
Embora a vulnerabilidade, por si só, não permita execução remota de código, o acesso a informações sensíveis frequentemente representa o primeiro passo de ataques mais sofisticados.
Similaridades com o CitrixBleed
A CVE-2026-8451 rapidamente passou a ser comparada às vulnerabilidades conhecidas como CitrixBleed, principalmente à CVE-2023-4966, explorada extensivamente por grupos de ransomware em 2023 e 2024.
Assim como ocorreu anteriormente, a nova falha também envolve leitura indevida da memória de dispositivos NetScaler expostos à internet.
Pesquisadores da watchTowr destacaram que, embora o comportamento técnico não seja idêntico ao da vulnerabilidade original, ambas pertencem à mesma categoria de falhas relacionadas ao gerenciamento incorreto da memória durante o processamento de requisições.
Esse histórico aumenta significativamente a preocupação da comunidade de segurança, já que vulnerabilidades semelhantes já foram utilizadas para comprometer grandes organizações em ataques reais.
Produtos afetados
Segundo o boletim oficial da Citrix, os seguintes produtos são afetados:
- NetScaler ADC
Versões 14.1 anteriores à 14.1-72.61.
Versões 13.1 anteriores à 13.1-63.18.
Versões 14.1 FIPS anteriores à 14.1-72.61 FIPS.
Versões 13.1 FIPS e NDcPP anteriores à 13.1-37.272.
- NetScaler Gateway
Versões 14.1 anteriores à 14.1-72.61.
Versões 13.1 anteriores à 13.1-63.18.
A vulnerabilidade afeta apenas ambientes nos quais o equipamento esteja configurado como SAML Identity Provider (IdP). Além disso, implantações do Secure Private Access Hybrid que utilizam instâncias NetScaler também são impactadas e devem ser atualizadas.
A exploração já começou
Embora a correção tenha sido disponibilizada rapidamente, pesquisadores observaram tentativas de exploração poucas horas após a divulgação pública da vulnerabilidade.
Sensores distribuídos na internet identificaram campanhas automatizadas de reconhecimento procurando dispositivos vulneráveis configurados como SAML IdP. Também foram registrados os primeiros testes de exploração utilizando requisições desenvolvidas especificamente para acionar a falha.
Esse comportamento segue um padrão observado em vulnerabilidades anteriores do NetScaler, nas quais a janela entre a divulgação da correção e o início das tentativas de exploração costuma ser extremamente curta.
Como corrigir a CVE-2026-8451
A Citrix recomenda que todas as organizações atualizem imediatamente seus dispositivos para versões corrigidas do firmware.
As versões que contêm a correção são:
- NetScaler ADC e Gateway 14.1-72.61 ou superior.
- NetScaler ADC e Gateway 13.1-63.18 ou superior.
- NetScaler ADC FIPS 14.1-72.61 FIPS ou superior.
- NetScaler ADC FIPS e NDcPP 13.1-37.272 ou superior.
Além da atualização, é recomendável verificar se o equipamento realmente necessita operar como SAML Identity Provider, reduzindo a superfície de ataque sempre que possível.
Organizações também devem revisar logs de autenticação, monitorar atividades incomuns e validar a integridade das sessões autenticadas após a aplicação das correções.
This post is also available in: Português
