NetScaler ADC e Gateway: distinguir as correções de setembro e outubro antes da recuperação

O que é

Situação em 25 de outubro de 2026. Esta comparação usa a revisão de 27 de setembro de 2026 de CTX697096 e a revisão de 3 de outubro de 2026 de CTX697174. Consulte novamente ambos os boletins, os caminhos de atualização com suporte e a lógica atual de detecção de indicadores antes de agir.

A Citrix confirma a exploração de CVE-2026-88771, uma falha de execução de comandos sem autenticação que não depende da ativação de um recurso, e de CVE-2026-88772, um estouro de memória que afeta implantações com DTLS habilitado. O DTLS é habilitado por padrão em servidores virtuais VPN. Separadamente, CVE-2026-88779 diz respeito à negação de serviço em appliances configurados como provedor de serviços ou provedor de identidade SAML; a CISA a adicionou ao catálogo Known Exploited Vulnerabilities em 4 de outubro de 2026. Boletim de setembro, boletim de outubro.

Por que importa

Os dois boletins estabelecem versões mínimas corrigidas diferentes. Uma implantação pode atender ao boletim anterior e continuar afetada pelo problema posterior de SAML. Ambos dizem respeito a appliances gerenciados pelo cliente; o fornecedor cuida de seus serviços de nuvem gerenciados. As verificações de recursos identificam a aplicabilidade, enquanto a investigação de comprometimento determina se a recuperação precisa ir além da atualização.

Como aplicar

• Registre o build em execução de cada nó e examine sua configuração, usando show ns runningConfig quando apropriado. Verifique as configurações de DTLS e de provedor de serviços ou provedor de identidade SAML. Não presuma que desativar DTLS elimina a exposição à falha que não depende de um recurso específico.
• Relacione o branch instalado à tabela de builds corrigidos do fornecedor. As versões abaixo de cada limite listado são afetadas dentro daquele branch, conforme os pré-requisitos de recursos relevantes. Use a versão corrigida adequada ou uma versão posterior com suporte no mesmo branch.

Branch	Correção de CVE-2026-88771/88772	Correção de CVE-2026-88779
ADC/Gateway 14.1	14.1-73.37	14.1-73.41
ADC/Gateway 13.1	13.1-64.23	13.1-64.28
ADC 14.1-FIPS	14.1-73.37 FIPS	14.1-73.41 FIPS
ADC 13.1-FIPS/NDcPP	13.1-37.279	13.1-37.282

O boletim anterior também escreve o último build como 13.1.37.279; confirme a nomenclatura do pacote no portal de downloads. Tabelas de builds, tabela de builds para SAML.

• Antes da recuperação, preserve configuração, logs, ajustes de horário e um pacote de suporte; combine qualquer captura de memória com a equipe de resposta, pois o dump documentado do Packet Engine causa uma reinicialização a quente. Em caso de suspeita de comprometimento, isole o appliance e investigue os sistemas de autenticação e gerenciamento conectados. Procedimento de recuperação.
• Execute a análise disponível no NetScaler Console a partir de Security Advisory, atendendo ao pré-requisito de telemetria. Investigue resultados Potentially Compromised. Failed to Execute e Skipped não são resultados negativos. Preserve o histórico de análises e a revisão da lógica de detecção; o fornecedor alerta que os indicadores não conseguem detectar todos os comprometimentos. Documentação do console.
• Trate o encerramento de sessões como uma decisão de contenção do incidente, após a coleta de evidências e as atualizações em todos os nós. kill aaa session -all desconecta sessões AAA-TM/VPN ativas; show aaa session exibe conexões para análise posterior. Coordene a interrupção para os usuários e trate outros tipos de sessão separadamente. Esses comandos não são um requisito universal após a atualização nos dois boletins. Referência de comandos.
• Se houver suspeita de comprometimento, siga o procedimento de apagamento ou substituição específico da plataforma, instale firmware corrigido e restaure uma configuração verificada anterior ao comprometimento. Substitua segredos de serviço, credenciais de usuários e certificados expostos e depois faça a rotação das senhas locais restauradas e das chaves de criptografia de chaves. Verifique a configuração e as restrições de gerenciamento; a Citrix especifica monitoramento rigoroso por pelo menos 90 dias após a recuperação.

Armadilhas

Uma correção, a desconexão de sessões e uma análise de indicadores limpa respondem a perguntas diferentes. Nenhuma delas, isoladamente, comprova que uma invasão anterior não deixou mecanismos de persistência. Mantenha os serviços de gerenciamento fora da internet pública e preserve as evidências necessárias para investigar alterações inesperadas de configuração.