Múltiples vulnerabilidades en productos de Citrix
INCIBE-CERT avisos · 28 sept, 08:51
Qué hacer: Actualiza NetScaler ADC y NetScaler Gateway 14.1 a 14.1-73.37 o posterior, o versión 13.1 a 13.1-64.23 o posterior; para CVE-2026-88778, habilita Enhanced ISN Generation.
Citrix ha publicado un aviso crítico sobre 8 vulnerabilidades en NetScaler ADC y NetScaler Gateway (versiones 13.1 y 14.1), de las cuales 3 son críticas. Dos de ellas (CVE-2026-88771 y CVE-2026-88772) están siendo explotadas activamente en instalaciones sin actualizar, permitiendo ejecución remota de código y denegación de servicio. Es necesario actualizar inmediatamente a las versiones parcheadas indicadas.
CVE-2026-88771 es una vulnerabilidad de validación incorrecta de datos de entrada que permite a un atacante remoto no autenticado ejecutar comandos arbitrarios en el dispositivo, afectando a todas las instalaciones vulnerables incluida la configuración predeterminada. CVE-2026-88772 es un desbordamiento de memoria que requiere DTLS habilitado (configuración por defecto en servidores VPN) para la explotación remota de código o denegación de servicio. Ambas están siendo explotadas activamente en el terreno.
Las versiones afectadas son NetScaler ADC y NetScaler Gateway 14.1 (anteriores a 14.1-73.37) y 13.1 (anteriores a 13.1-64.23), además de las variantes FIPS. También afecta a despliegues híbridos de Secure Private Access. El fabricante recomienda conservar evidencias antes de actualizar, comprobar indicios de compromiso, aislar dispositivos si se detectan ataques, y revocar credenciales y certificados. Se enfatiza que las interfaces de administración no deben estar expuestas a Internet.
Puntos clave
- Actualiza NetScaler ADC/Gateway 14.1 a 14.1-73.37 o posterior, o 13.1 a 13.1-64.23 o posterior
- CVE-2026-88771 y CVE-2026-88772 (críticas) están siendo explotadas activamente sin necesidad de autenticación
- Para CVE-2026-88778, habilita Enhanced ISN Generation tras aplicar parches
- Recopila registros y evidencias antes de actualizar; revisa indicios de compromiso en sistemas afectados