Wardux

Citrix corrige dos fallos de NetScaler que ya se están explotando

Dos vulnerabilidades críticas afectan a los equipos NetScaler que gestionan empresas y organizaciones. Citrix ha publicado versiones corregidas y recomienda examinar los dispositivos expuestos a Internet.

  • Noticia
  • Confirmado
  • Publicada el
  • 2 minutos de lectura

Lo esencial

  • CVE-2026-88771 permite ejecutar comandos sin autenticación incluso con la configuración predeterminada de las versiones afectadas.
  • CVE-2026-88772 puede permitir ejecución remota de código o denegación de servicio si DTLS está activado; lo está por defecto en los servidores virtuales VPN.
  • Citrix confirma ataques contra ambos fallos. Hay que actualizar los equipos gestionados por la organización y comprobar si muestran indicios de compromiso.
  • 30 sep 2026Plazo de CISA para los organismos federales de EE. UU.
  • 9,5/10Gravedad CVSS v4 de cada fallo explotado
Dos alertas rojas ante la puerta de acceso a una red corporativa
Ilustración generada con IA para Wardux.Wardux / imagen generada con IA

Citrix publicó el 27 de septiembre de 2026 una actualización para NetScaler ADC y NetScaler Gateway tras observar ataques contra dos fallos críticos. Estos productos se utilizan para distribuir tráfico y dar acceso remoto a redes corporativas. El boletín de Citrix reúne ocho vulnerabilidades; las dos cuya explotación confirma el fabricante son CVE-2026-88771 y CVE-2026-88772. Ambas tienen una puntuación 9,5 sobre 10 en CVSS v4.

A qué equipos afecta cada fallo

CVE-2026-88771 permite a un atacante sin credenciales ejecutar comandos de forma remota. En las versiones vulnerables afecta a todos los despliegues de NetScaler ADC y Gateway, incluso con la configuración predeterminada: no hace falta activar una función adicional.

CVE-2026-88772 es un desbordamiento de memoria que puede provocar ejecución remota de código o denegación de servicio. Requiere que DTLS esté activado, y Citrix indica que viene activado por defecto en los servidores virtuales VPN.

El aviso se dirige a instalaciones de NetScaler gestionadas por sus clientes, incluidas las que se usan en despliegues híbridos de Secure Private Access. Citrix se ocupa de actualizar los servicios en la nube que gestiona directamente.

Versiones corregidas y comprobación

El administrador debe identificar la rama instalada y actualizar a la compilación correspondiente. La guía técnica de Citrix recoge estas versiones mínimas:

Producto y ramaPrimera versión corregidaAcción
NetScaler ADC y Gateway 14.114.1-73.37O cualquier compilación posterior de 14.1
NetScaler ADC y Gateway 13.113.1-64.23Con variables configuradas, mejor 13.1-64.24 (abajo)
NetScaler ADC 14.1 FIPS14.1-73.37 FIPSO posterior dentro de la rama 14.1 FIPS
NetScaler ADC 13.1 FIPS o NDcPP13.1-37.279O posterior dentro de su rama

La versión 13.1-64.23 corrige los fallos, pero Citrix advierte de que, en una configuración concreta, el equipo podría entrar en un ciclo de reinicios durante la actualización. Recomienda ejecutar show ns variable: si muestra variables configuradas, aconseja planificar la actualización a 13.1-64.24 para evitar ese problema.

Las ramas 12.1 y 13.0 están fuera de soporte y no reciben estas correcciones. NHS England recomienda migrar a una rama admitida. Para CVE-2026-88778, otro de los ocho fallos del boletín, Citrix pide además activar Enhanced ISN Generation en la configuración TCP de los equipos afectados.

Actualizar y revisar si hubo acceso indebido

La agencia estadounidense CISA incorporó ambos CVE a su catálogo de vulnerabilidades explotadas el 27 de septiembre. Para los organismos federales sujetos a su directiva fija el 30 de septiembre de 2026 como plazo de actuación y pide seguir las medidas del fabricante y realizar análisis forense.

CERT-EU recomienda actualizar y examinar posibles indicios de compromiso en los equipos expuestos a Internet. Citrix ofrece una detección inicial mediante NetScaler Console y remite a su soporte a quienes no utilizan esa consola. CISA aconseja buscar indicios antes de parchear cuando sea posible y preservar la evidencia si se sospecha una intrusión, porque la actualización puede borrar rastros útiles. Después, instalar la versión corregida.

Fuentes