CISA da de plazo hasta el 30 de septiembre para parchear dos fallos críticos en Citrix NetScaler ya explotados
Una al día (Hispasec) · 28 sept, 13:56
Qué hacer: Actualiza Citrix NetScaler ADC y Gateway a 14.1-73.37 o 13.1-64.23 como mínimo antes del 30 de septiembre; verifica indicios de compromiso antes de parchear.
CISA ha fijado el 30 de septiembre como plazo para que organismos federales estadounidenses parcheen dos vulnerabilidades críticas de zero-day en Citrix NetScaler que ya se explotan activamente. Los fallos CVE-2026-88771 y CVE-2026-88772 permiten ejecución remota de código sin autenticación en configuraciones por defecto, afectando a sistemas expuestos a Internet como puertas de acceso remoto y pasarelas VPN. El boletín incluye también seis vulnerabilidades adicionales, y NetScaler es un componente crítico en perímetros corporativos.
CVE-2026-88771 permite RCE sin autenticación en NetScaler ADC y Gateway con configuración por defecto, sin requisitos adicionales. CVE-2026-88772 causa RCE o denegación de servicio mediante un desbordamiento de memoria cuando DTLS está habilitado, una opción frecuente porque viene activada por defecto en vServers de VPN. Ambos fallos ya se explotan activamente en la naturaleza.
Citrix ha publicado actualizaciones en las ramas 14.1 y 13.1 (versiones mínimas 14.1-73.37 o 13.1-64.23, incluyendo ediciones FIPS y NDcPP), y el parche se extiende también a Secure Private Access Hybrid. El boletín abarca ocho vulnerabilidades totales (CVE-2026-88771 a CVE-2026-88778) con otros vectores como HTTP request smuggling y bypass de políticas. CISA recomienda comprobar indicios de compromiso antes de actualizar para preservar evidencias forenses. Las versiones 12.1 y 13.0 están fuera de soporte y no recibirán parches, obligando a migración urgente.
Puntos clave
- Actualiza NetScaler ADC/Gateway a 14.1-73.37 o 13.1-64.23 como mínimo antes del 30 de septiembre
- Prioriza sistemas expuestos a Internet y verifica si DTLS está habilitado en vServers de VPN
- Comprueba indicios de compromiso y preserva evidencias forenses antes de aplicar parches
- NetScaler 12.1 y 13.0 no recibirán parches: requieren migración urgente a versiones soportadas