CISA Says Attackers Are Exploiting Two Critical Citrix NetScaler Flaws Globally
The Hacker News · 28 sept, 09:21
Qué hacer: Actualiza Citrix NetScaler ADC y Gateway a 14.1-73.37 o 13.1-64.23 o posteriores según corresponda; aísla dispositivos si se sospecha compromiso, revoca credenciales y reconstruye con firmware actualizado.
CISA ha añadido dos vulnerabilidades críticas de Citrix NetScaler ADC y Gateway a su catálogo de vulnerabilidades explotadas activamente. Las flaws (CVE-2026-88771 y CVE-2026-88772, ambas con CVSS 9.5) permiten ejecutar código arbitrario y afectan a miles de organizaciones en todo el mundo. Citrix ha publicado parches y CISA ha establecido plazo de 30 de septiembre para que las agencias federales estadounidenses apliquen las correcciones.
CVE-2026-88771 es una vulnerabilidad de validación impropia de entrada que permite a un atacante no autenticado ejecutar comandos arbitrarios en todos los despliegues de NetScaler ADC y Gateway. CVE-2026-88772 es un desbordamiento de buffer que requiere que DTLS esté habilitado, configuración que viene activada por defecto en los servidores VPN virtuales, lo que aumenta significativamente el riesgo de exposición.
Citrix ha publicado versiones parcheadas: 14.1-73.37 y posteriores, 13.1-64.23 y posteriores para la rama 13.1, y versiones específicas para las variantes FIPS y NDcPP. CISA ha confirmado informes de múltiples socios sobre explotación activa en el terreno a nivel mundial. Las organizaciones afectadas deben aislar los dispositivos comprometidos, revocar credenciales, investigar sistemas conectados, reconstruir con firmware actualizado, rotar contraseñas de cuentas locales y certificados SSL, y endurecimiento según mejores prácticas.
Puntos clave
- CVE-2026-88771 y CVE-2026-88772, ambas CVSS 9.5, con explotación confirmada activa
- Afecta a NetScaler ADC y Gateway 14.1 anterior a 73.37 y 13.1 anterior a 64.23
- CVE-2026-88772 aprovecha DTLS habilitado por defecto en servidores VPN
- Parches disponibles para versiones 14.1, 13.1, 14.1-FIPS y 13.1-FIPS/NDcPP
- Plazo para agencias federales estadounidenses: 30 de septiembre de 2026