Actualiza NetScaler para CVE-2026-88771 y CVE-2026-88772
Citrix informa de la explotación observada de dos fallos críticos en NetScaler ADC y Gateway administrados por clientes. Las condiciones de exposición son distintas: CVE-2026-88771 afecta a todos los despliegues, incluidas las configuraciones predeterminadas; CVE-2026-88772 requiere DTLS habilitado.
| CVE | Problema confirmado | Condición de exposición | Gravedad |
|---|---|---|---|
CVE-2026-88771 | Ejecución remota de código sin autenticación por validación incorrecta de entradas (CWE-20) | Todos los despliegues afectados de ADC y Gateway, incluidos los predeterminados; no requiere funciones adicionales | CVSS 4.0: 9,5 Crítica |
CVE-2026-88772 | Desbordamiento de memoria con posible ejecución remota de código o denegación de servicio (CWE-119) | DTLS habilitado; Citrix indica que viene habilitado de forma predeterminada en servidores virtuales VPN | CVSS 4.0: 9,5 Crítica |
Versiones afectadas y corregidas de NetScaler
Citrix identifica estas ramas de productos administrados por clientes como afectadas en versiones anteriores a las corregidas. Actualiza a la versión indicada o a una posterior de la misma rama compatible. También deben actualizarse las instancias NetScaler de despliegues Secure Private Access Hybrid. Cloud Software Group actualiza los servicios en la nube administrados por Citrix.
| Rama del producto | Versiones afectadas | Versión corregida |
|---|---|---|
| ADC y Gateway 14.1 | Anteriores a 14.1-73.37 | 14.1-73.37 o posterior |
| ADC y Gateway 13.1 | Anteriores a 13.1-64.23 | 13.1-64.23 o posterior |
| ADC FIPS 14.1 | Anteriores a 14.1-73.37 FIPS | 14.1-73.37 FIPS o posterior |
| ADC FIPS / NDcPP 13.1 | Anteriores a 13.1-37.279 | 13.1-37.279 o posterior |
Comprueba la exposición a DTLS de CVE-2026-88772
CVE-2026-88771 no tiene exclusión por configuración: Citrix indica que todos los despliegues afectados están dentro del alcance. Para CVE-2026-88772, revisa la configuración en ejecución e identifica los servidores virtuales con DTLS. En un servidor virtual VPN, DTLS se considera habilitado si no se ha desactivado explícitamente; otros servidores están afectados cuando se configuran con el tipo DTLS. Aplica toda la actualización de Citrix aunque DTLS esté deshabilitado, ya que ese ajuste no aborda CVE-2026-88771 ni las demás vulnerabilidades del boletín.
Lista de comprobación para triaje y respuesta
- Inventaría los ADC, Gateway e instancias NetScaler administrados por clientes que se usen en Secure Private Access Hybrid; registra la rama y versión de cada equipo.
- Prioriza todas las versiones afectadas: CVE-2026-88771 se aplica sin una función especial ni una configuración no predeterminada.
- Revisa los servidores virtuales con DTLS para identificar la exposición adicional a CVE-2026-88772; considera las restricciones de DTLS una medida temporal solo cuando los requisitos del servicio lo permitan.
- Actualiza a la versión corregida correspondiente y verifica la versión instalada en cada equipo y par de alta disponibilidad.
- Como se ha observado explotación, evalúa los equipos para detectar compromiso con las indicaciones de compromiso actuales de Citrix y las recomendaciones de búsqueda defensiva de Google Mandiant; aplicar el parche no demuestra que el equipo esté limpio.
- Si sospechas que hubo compromiso, sigue el proceso de respuesta a incidentes y las instrucciones del soporte de Citrix antes de volver a poner el equipo en servicio.
- Sigue CVE-2026-88779 por separado: es un problema distinto de denegación de servicio condicionado por SAML y puede requerir una versión posterior. Consulta el análisis específico de FlawOpen.