Citrix publicó el 27 de septiembre el boletín CTX697096 para corregir ocho vulnerabilidades en NetScaler ADC y NetScaler Gateway. La alerta concentra su máxima urgencia en CVE-2026-88771 y CVE-2026-88772: ambas alcanzan una puntuación CVSS v4 de 9,5, permiten ejecución remota de código y ya han sido explotadas contra instalaciones sin mitigar, según el fabricante. CISA confirmó actividad maliciosa a escala global y añadió los dos identificadores a su catálogo de vulnerabilidades explotadas conocidas.
El alcance convierte el aviso en una prioridad para responsables de infraestructura, seguridad y continuidad. Estos dispositivos suelen ocupar posiciones expuestas y sensibles en la arquitectura empresarial, donde gestionan acceso remoto, entrega de aplicaciones y tráfico. La respuesta exige coordinar análisis forense, gestión del cambio y actualización, con especial atención al orden de las actuaciones: CISA recomienda buscar indicios de compromiso antes de aplicar los parches y preservar evidencias cuando exista una sospecha.
Dos vías de ataque con un alcance amplio
CVE-2026-88771 es una vulnerabilidad de validación incorrecta de entradas. Citrix explica que un atacante sin autenticar puede aprovecharla para ejecutar comandos arbitrarios. La condición de exposición abarca todas las implementaciones de NetScaler ADC y NetScaler Gateway, incluida la configuración predeterminada, y el fallo no requiere que el administrador haya activado ninguna función adicional.
CVE-2026-88772 deriva de un desbordamiento de memoria que puede terminar en ejecución remota de código o denegación de servicio. En este caso, la condición previa es tener DTLS habilitado. El fabricante precisa que DTLS está activo de forma predeterminada en los servidores virtuales VPN. También pueden estar expuestos otros servidores virtuales configurados expresamente con tipo DTLS. Las dos vulnerabilidades pueden habilitar ejecución remota de código de manera independiente, de acuerdo con CISA.
El boletín incluye otros seis fallos. CVE-2026-88773, con CVSS v4 de 9,3, permite HTTP Request Smuggling cuando existe configuración HTTP. CVE-2026-88774 afecta a expresiones de políticas basadas en URL HTTP. CVE-2026-88775, CVE-2026-88776 y CVE-2026-88777 son desbordamientos de memoria asociados a configuraciones concretas, entre ellas Gateway o servidores AAA, balanceo Oracle y determinados protocolos de capa 7. CVE-2026-88778 afecta a la predicción del número de secuencia inicial de TCP y requiere además el cambio de configuración indicado por Citrix para activar la generación mejorada de ISN.
La alerta se limita a las instancias gestionadas por los clientes. Citrix señala que Cloud Software Group actualiza los servicios cloud administrados por Citrix y Adaptive Authentication administrado por Citrix. También incluye entre los entornos afectados los despliegues híbridos de Secure Private Access que utilizan instancias NetScaler; esas instancias deben actualizarse a las compilaciones recomendadas.
Versiones corregidas y comprobaciones prioritarias
Citrix insta a instalar cuanto antes una versión corregida. Las compilaciones mínimas indicadas son NetScaler ADC y NetScaler Gateway 14.1-73.37; la rama 13.1 requiere 13.1-64.23; NetScaler ADC 14.1-FIPS requiere 14.1-73.37 FIPS; y las ediciones 13.1-FIPS y 13.1-NDcPP requieren 13.1-37.279. Las versiones anteriores de esas ramas compatibles figuran como afectadas en el boletín.
- NetScaler ADC y Gateway 14.1: 14.1-73.37 o posterior.
- NetScaler ADC y Gateway 13.1: 13.1-64.23 o posterior dentro de la rama 13.1.
- NetScaler ADC 14.1-FIPS: 14.1-73.37 FIPS o posterior.
- NetScaler ADC 13.1-FIPS y 13.1-NDcPP: 13.1-37.279 o posterior.
La revisión del inventario debe cubrir appliances físicos, virtuales y las instancias integradas en Secure Private Access Hybrid. Para CVE-2026-88771, la condición de exposición es universal dentro de los productos afectados. Para CVE-2026-88772, los equipos pueden inspeccionar la configuración de los servidores virtuales: un Gateway cumple la condición cuando DTLS no está deshabilitado explícitamente, mientras que otros servidores virtuales la cumplen si están configurados como DTLS.
El análisis también debe identificar la función de cada instancia. Un equipo empleado como VPN, proxy ICA, CVPN, proxy RDP o servidor virtual AAA puede reunir las condiciones de CVE-2026-88775. Los servicios de balanceo Oracle y determinadas funciones FTP, RTSP, DNS64 o NAT64 aparecen en las condiciones de los fallos restantes. Esta segmentación ayuda a ordenar la mitigación de los seis problemas adicionales, aunque la exposición general de CVE-2026-88771 mantiene la actualización como medida transversal.
Preservar evidencias antes de actualizar
CISA introduce una cautela operativa decisiva. La agencia anima a buscar indicios de compromiso antes del parcheo siempre que sea posible. Si la organización sospecha una intrusión, recomienda conservar las evidencias forenses antes de actualizar, ya que el proceso puede reducir la visibilidad necesaria para reconstruir la actividad del atacante. Citrix ha puesto indicadores de compromiso a disposición de los clientes mediante NetScaler Console y enlaza orientación adicional desde su boletín.
La secuencia de respuesta debe adaptarse al riesgo y al contexto de cada organización. Conviene registrar el estado del appliance, conservar los datos relevantes para la investigación, revisar los indicadores proporcionados por el fabricante y coordinar cualquier aislamiento con los responsables del servicio. Después llega la actualización a una compilación corregida, seguida de la validación funcional y de seguridad. Los equipos que detecten señales sospechosas deberían activar su procedimiento de respuesta a incidentes y seguir la guía específica de Citrix para dispositivos potencialmente comprometidos.
El tiempo de intervención también forma parte del riesgo. CISA reconoce que actualizar appliances NetScaler puede ser complejo y requerir una interrupción del servicio, pero confirma explotación activa global a partir de informes e inteligencia de socios. Esa combinación justifica una ventana de cambio urgente, con participación conjunta de seguridad, redes, puesto de trabajo digital y continuidad de negocio.
La cobertura publicada por BleepingComputer documentó las advertencias que circularon entre administradores y proveedores antes de que apareciera el boletín público. La información definitiva sobre alcance, condiciones técnicas y versiones corregidas procede de Citrix; la confirmación gubernamental de la explotación y la recomendación forense corresponden a CISA. Para las empresas afectadas, la prioridad inmediata es localizar cada instancia gestionada por el cliente, comprobar indicios de compromiso, preservar evidencia cuando proceda y desplegar la actualización aplicable.
