Citrix patches NetScaler SAML zero-day exploited in attacks
BleepingComputer · 4 oct, 23:58
Qué hacer: Actualiza NetScaler ADC a versión 14.1-73.41 o 13.1-64.28, o las variantes FIPS 14.1-73.41 FIPS y 13.1-37.282, según corresponda a tu instalación.
Citrix ha publicado actualizaciones de emergencia para CVE-2026-88779, una vulnerabilidad zero-day en NetScaler ADC y NetScaler Gateway que está siendo explotada en ataques dirigidos. Aunque Citrix la describe como un fallo de negación de servicio (CVSS 8.7), investigadores han documentado evidencia de que podría permitir ejecución remota de código, incluyendo descargas de malware en sistemas parcheados. CISA ha añadido la vulnerabilidad al catálogo de vulnerabilidades conocidas como explotadas activamente.
La vulnerabilidad afecta a dispositivos NetScaler que utilizan autenticación SAML con funcionalidad Gateway o AAA. Se trata de un desbordamiento de búfer en memoria que Citrix ha vinculado a ataques dirigidos contra equipos sin mitigar, causando reinicios forzados y bloqueos del servicio nsaaad. Administradores han reportado en Reddit y otros foros que incluso sistemas actualizados a versión 14.1-73.37 experimentaban reinicios inesperados.
Las investigaciones revelan nombres de usuario SAML manipulados conteniendo comandos shell que descargan cargas desde la dirección IP 213.209.159[.]55. El experto Kevin Beaumont confirmó que uno de sus honeypots parcheados ejecutaba un binario malicioso descargado, sugiriendo que la vulnerabilidad permite más que solo negación de servicio. Citrix liberó parches para versiones 14.1-73.41, 13.1-64.28 y variantes FIPS el domingo temprano, y CISA estableció un plazo de mitigación hasta el 7 de octubre para agencias federales.
Puntos clave
- Actualiza NetScaler ADC a 14.1-73.41 o 13.1-64.28 inmediatamente
- Verifica si SAML está configurado como SP o IdP en tus dispositivos
- La vulnerabilidad puede permitir RCE además de denegación de servicio
- CISA ha confirmado explotación activa en CVE-2026-88779
- Algunos sistemas requieren dos actualizaciones seguidas si fueron parcheados recientemente