O Centro Nacional de Segurança Cibernética da Holanda (NCSC-NL) emitiu um alerta urgente sobre a exploração ativa da vulnerabilidade crítica CVE-2025-6543 em dispositivos Citrix NetScaler ADC e NetScaler Gateway. Essa falha, classificada com severidade CVSS 9.2, já está sendo usada em ataques de dia zero, colocando em risco redes corporativas e governamentais ao redor do mundo.
Neste artigo, você vai entender o que é a CVE-2025-6543, quais versões estão vulneráveis, como os ataques estão acontecendo e, principalmente, o passo a passo para proteger sua infraestrutura e verificar sinais de comprometimento.
O Citrix NetScaler é amplamente utilizado como solução de balanceamento de carga, acesso remoto seguro e otimização de aplicativos. Por ser um componente crítico em infraestruturas corporativas, qualquer falha nesse sistema pode ter consequências devastadoras, como interrupções de serviço, perda de dados e invasões completas da rede interna.
O que é a vulnerabilidade CVE-2025-6543?
A CVE-2025-6543 é uma falha de fluxo de controle não intencional que pode resultar em negação de serviço (DoS) ou, em cenários mais críticos, permitir execução remota de código por atacantes. Na prática, isso significa que um invasor pode derrubar completamente um sistema afetado ou potencialmente assumir o controle administrativo do dispositivo.
O problema afeta diretamente a capacidade do NetScaler de processar conexões de forma segura, abrindo caminho para ataques direcionados e potencialmente destrutivos.
Produtos afetados e patches disponíveis
Segundo o alerta, as seguintes versões estão vulneráveis e devem receber atualização imediata:
- NetScaler ADC: versões 13.1 antes de 13.1-51.15 e 14.1 antes de 14.1-12.35
- NetScaler Gateway: mesmas versões listadas acima
A Citrix já disponibilizou patches de segurança e recomenda a atualização imediata para versões corrigidas.
O que é um ataque de dia zero e por que isso é grave?
Um ataque de dia zero acontece quando uma vulnerabilidade é explorada antes da divulgação pública ou da existência de uma correção. No caso da CVE-2025-6543, os atacantes tiveram quase dois meses de vantagem, explorando a falha sem que a comunidade técnica soubesse da sua existência, aumentando drasticamente o risco e a complexidade da mitigação.
Exploração ativa: as descobertas do NCSC-NL e da CISA
As investigações do NCSC-NL indicam que a vulnerabilidade vem sendo explorada desde maio de 2025. Em sistemas comprometidos, foram encontrados web shells maliciosos, que funcionam como portas dos fundos para controle remoto e persistente por parte dos invasores.
Além disso, há evidências de que os agentes de ameaça tentaram apagar rastros de suas atividades, o que sugere um nível elevado de sofisticação. A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) também adicionou a CVE-2025-6543 ao seu catálogo de vulnerabilidades exploradas ativamente (KEV), reforçando a urgência na aplicação das correções.
Guia de ação: como proteger seus sistemas e verificar por invasões
A seguir, um plano de resposta rápido para mitigar a vulnerabilidade e detectar possíveis comprometimentos.
Passo 1: aplique as atualizações imediatamente
Baixe e instale as versões corrigidas do NetScaler ADC e NetScaler Gateway conforme as orientações da Citrix. Essa é a medida mais importante para interromper a exploração.
Passo 2: encerre todas as sessões ativas
O NCSC-NL recomenda encerrar todas as sessões atualmente abertas para impedir que atacantes mantenham acesso aos sistemas. Utilize os seguintes comandos:
kill icaconnection -all
kill pcoipConnection -all
kill rdpConnection -all
kill aaa session -all
clear lb persistentSessions
Passo 3: verifique por indicadores de comprometimento (IoCs)
O NCSC-NL disponibilizou um script de verificação para identificar sinais de invasão. Entre os IoCs conhecidos estão:
- Presença de arquivos .php suspeitos em diretórios do sistema.
- Criação de novas contas de usuário com privilégios administrativos.
- Alterações não autorizadas em configurações do NetScaler.
O impacto para empresas e a importância da ação rápida
A CVE-2025-6543 é uma ameaça real e já está comprometendo infraestruturas críticas. Empresas que não agirem rapidamente podem enfrentar interrupções de serviço, paralisação de operações e violações de segurança de alto impacto.
Não espere para se tornar a próxima vítima. Administradores devem auditar seus ambientes Citrix NetScaler agora, aplicar as atualizações e seguir os passos de verificação para garantir que não há invasões em andamento.
A segurança de toda a rede pode depender dessa ação imediata.
