Verificador de segurança defensiva para Citrix NetScaler ADC & Gateway — CVE-2026-88771 até CVE-2026-88778
Por Grupo Oruss | Division81 Defensive Security Research
Ferramenta Python 3 offline e somente leitura para triagem da exposição do Citrix NetScaler ADC / Gateway sob o boletim de segurança da Citrix CTX697096. Sem tráfego de rede, payloads de exploração, testes de DoS, autenticação ou telemetria de terceiros. Não é um detector de exploração de vulnerabilidades nem uma avaliação de comprometimento.
Exporte uma configuração que você está autorizado a inspecionar (saída de /nsconfig/ns.conf ou show ns runningConfig). Obtenha o build de firmware instalado no appliance e, opcionalmente, salve a saída de texto de show ns tcpparam. Não envie configurações proprietárias de produção para GitHub, serviços de nuvem ou rastreadores de issues.
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 --tcp-params examples/tcpparam.txt --output report.json
Sem dependências de terceiros. Compatível com Windows, Linux e macOS.
potentially_exposed: build afetada suportada e um pré-requisito documentado parece estar presente. Não prova comportamento explorável.fixed_build: atende ao limite de build corrigida do advisory, não é garantia de ausência de comprometimento.precondition_not_observed: a heurística não identificou um pré-requisito no snapshot fornecido; não é uma declaração de segurança.configuration_unknown: dados críticos de configuração suplementar estão ausentes.unknown_build: não foi possível uma classificação confiável de edição/build.O relatório JSON contém deliberadamente contagens, não linhas de configuração sensíveis. Revise a configuração de origem localmente.
| CVE | CVSS v4 | Condição offline |
|---|---|---|
| CVE-2026-88771 | 9.5 | Versão (todas as configurações padrão afetadas em builds vulneráveis) |
| CVE-2026-88772 | 9.5 | DTLS, incluindo padrões implícitos de SSL VPN |
| CVE-2026-88773 | 9.3 | vServers HTTP/SSL |
| CVE-2026-88774 | 7.0 | Heurística de expressão de URL HTTP; revise os bindings manualmente |
| CVE-2026-88775 | 8.8 | vServers VPN ou AAA |
| CVE-2026-88776 | 8.8 | vServer ORACLE LB |
| CVE-2026-88777 | 8.8 | Heurísticas FTP/RTSP/DNS64/NAT64/LSN; verifique os bindings de recursos |
| CVE-2026-88778 | 8.8 | vServer TCP + Enhanced ISN Generation desabilitado em show ns tcpparam |
Builds corrigidas (conforme CTX697096): 14.1-73.37 / 13.1-64.23 para standard, 14.1-73.37 para FIPS, 13.1-37.279 para FIPS/NDcPP.
Limitações: Este parser é heurístico e pode não detectar contexto distribuído por várias linhas de CLI, padrões pós-implantação, expressões indiretas e bindings de política; show ns tcpparam é necessário para CVE-2026-88778. Entradas ausentes em uma configuração exportada parcial não podem descartar exposição. Build 13.0 e outras versões não suportadas/em fim de vida são unknown, não seguras. O verificador não confirma exploração maliciosa. Para appliances não corrigidos expostos à internet, aplique o patch com urgência e realize uma avaliação independente de incidente/comprometimento.
python -m unittest discover -s tests -v
Inspecione apenas configurações que você possui ou tem permissão para avaliar. Nunca faça commit de exportações reais ou resultados contendo detalhes internos. Licença: MIT. Este é um projeto independente de By Grupo Oruss | Division81 Defensive Security Research, não afiliado nem endossado pela Citrix/NetScaler.
Fontes: Citrix CTX697096, aviso da CISA.
Gere ambos os formatos localmente usando a mesma avaliação somente leitura:
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 \
--tcp-params examples/tcpparam.txt --json report.json --html report.html
No Windows PowerShell, execute o comando em uma única linha ou use o acento grave do PowerShell para continuação.
Abra o report.html localmente em um navegador; ele é um arquivo autônomo com CSS incorporado, sem scripts externos, recursos ou telemetria. --output continua sendo um alias retrocompatível para --json. O HTML fornece um resumo de KPIs, descobertas para todas as oito CVEs, ações recomendadas e ressalvas da avaliação. Ele exclui a configuração bruta e as linhas correspondentes; ainda assim, verifique os relatórios antes de compartilhá-los.
Importante: Avaliações em builds corrigidos não são evidência de ausência de comprometimento histórico. Consulte o boletim da Citrix e as orientações da CISA para aplicação de patches, indicadores de comprometimento e preservação forense.