New NetScaler Zero-Day Exploited in Targeted Attacks Can Knock SAML Deployments Offline
The Hacker News · 5 oct, 08:40
Qué hacer: Actualiza NetScaler ADC y NetScaler Gateway a versión 14.1-73.41, 13.1-64.28 o posteriores según tu versión actual; si usas SAML, aplica el parche inmediatamente.
Citrix ha publicado parches de seguridad para CVE-2026-88779, una vulnerabilidad de memory overflow en NetScaler ADC y Citrix NetScaler Gateway con CVSS 8.7 que está siendo explotada en ataques dirigidos como zero-day. La falla afecta solo a despliegues configurados como proveedores de servicios o proveedores de identidad SAML, y puede provocar denegación de servicio. CISA ha incluido el CVE en su catálogo de vulnerabilidades conocidas explotadas, con plazo para parches el 7 de octubre de 2026.
La vulnerabilidad CVE-2026-88779 es un desbordamiento de memoria que afecta a NetScaler ADC y NetScaler Gateway cuando están configurados específicamente como proveedores de servicios SAML (SP) o proveedores de identidad SAML (IdP). Citrix ha confirmado ataques dirigidos contra despliegues sin mitigar que pueden causar denegación de servicio; si la condición se dispara repetidamente, el servicio puede permanecer no disponible. La empresa ha aclarado que no ha identificado impacto en la integridad de los datos de clientes.
El parche está disponible en las versiones NetScaler ADC y NetScaler Gateway 14.1-73.41 y posteriores, 13.1-64.28 y posteriores de 13.1, y versiones FIPS correspondientes. Bishop Fox y watchTowr reportaron la vulnerabilidad; watchTowr confirmó poder reproducir el fallo en horas tras detectar actividad en honeypots. Este incidente se suma a la explotación activa de CVE-2026-88771 y CVE-2026-88772 para instalar web shells y herramientas de tunelización.
Puntos clave
- Memoria overflow en NetScaler ADC/Gateway solo con SAML SP o IdP configurados
- Causa denegación de servicio; sin impacto confirmado en integridad de datos
- Parches disponibles: 14.1-73.41+, 13.1-64.28+ y versiones FIPS 13.1-37.282+
- En el catálogo CISA KEV; plazo federal para parches: 7 de octubre de 2026
- Ataques dirigidos confirmados contra despliegues sin mitigar