Citrix corrige dos zero-days de NetScaler explotados globalmente para ejecutar código

Citrix confirmó el 27 de septiembre que atacantes explotaron CVE-2026-88771 y CVE-2026-88772 contra instalaciones de NetScaler ADC y NetScaler Gateway que aún no estaban mitigadas. Ambas vulnerabilidades obtuvieron una puntuación CVSS v4 de 9,5 y pueden terminar en ejecución remota de código sin credenciales.

CISA recibió informes e inteligencia de socios que sitúan la explotación en múltiples regiones y añadió las dos fallas a su catálogo de vulnerabilidades explotadas. Al haber sido utilizadas antes de que existiera una corrección pública, instalar el parche no basta para descartar una intrusión previa.

CVE-2026-88771 deriva de una validación incorrecta de entrada y permite ejecutar comandos arbitrarios. Citrix indica que afecta a todos los despliegues vulnerables de NetScaler ADC y Gateway, incluida la configuración predeterminada, sin requerir que una función adicional esté habilitada.

CVE-2026-88772 es un desbordamiento de memoria que puede causar ejecución de código o denegación de servicio. Requiere DTLS, pero esta opción está activada de forma predeterminada en los servidores virtuales VPN; un Gateway solo queda fuera de esa precondición cuando DTLS fue deshabilitado explícitamente.

Las versiones anteriores a 14.1-73.37 y 13.1-64.23 están afectadas, junto con NetScaler ADC 14.1-FIPS anterior a 14.1-73.37 FIPS y las ramas 13.1-FIPS o 13.1-NDcPP anteriores a 13.1-37.279. Secure Private Access Hybrid también requiere actualizar las instancias NetScaler administradas por el cliente.

El mismo boletín corrige otras seis fallas, CVE-2026-88773 a CVE-2026-88778, que abarcan contrabando de solicitudes HTTP, evasión de políticas, desbordamientos de memoria y predicción de números de secuencia TCP. Citrix no las marcó como explotadas, pero varias alcanzan puntuaciones de 8,8 o 9,3 y deben incluirse en la actualización de emergencia.

CISA y los centros de respuesta de Canadá y la Unión Europea recomiendan evaluar primero si hubo compromiso en los dispositivos expuestos a internet. Reiniciar o actualizar de inmediato puede eliminar evidencia necesaria para reconstruir el acceso inicial y medir el alcance.