Citrix corrigió dos vulnerabilidades graves en NetScaler ADC y NetScaler Gateway: una permite saltarse la autenticación y otra puede provocar una denegación de servicio. Afecta a empresas que usan estos equipos como VPN, gateway de acceso remoto o balanceador. Lo urgente es identificar tus equipos, revisar su versión y configuración, e instalar las versiones corregidas cuanto antes.
Qué está pasando
El 19 de agosto de 2026, Citrix publicó un aviso de seguridad con varias vulnerabilidades críticas en NetScaler ADC (antes Citrix ADC) y NetScaler Gateway (antes Citrix Gateway). Estos equipos suelen estar en el borde de la red, dando acceso remoto (VPN) o balanceando tráfico, por lo que una falla en ellos puede abrir la puerta a toda la organización.
La más grave, CVE-2026-19490 (CVSS 9.3), permite saltarse la autenticación usando una ruta alternativa. Solo aplica si el equipo está configurado como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o como servidor virtual AAA. En las versiones 14.1-43.56 o posteriores y 13.1-61.28 o posteriores, además se requiere tener configurada una acción SAML; en versiones anteriores y en 13.1 FIPS basta con tener configurado el Gateway o el servidor virtual AAA.
La segunda, CVE-2026-19489 (CVSS 8.8), es un desbordamiento de memoria que puede causar comportamiento impredecible o una denegación de servicio. Solo afecta si está habilitado SIP ALG (Session Initiation Protocol Application Layer Gateway) en una configuración de grupo Large Scale NAT (LSN).
El boletín no informa explotación activa ni código de prueba público, pero recomienda instalar las versiones actualizadas lo antes posible.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-19490 | 9.3 | Bypass de autenticación mediante una ruta alternativa. Requiere que el equipo esté configurado como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o servidor virtual AAA; en versiones recientes, además, una acción SAML configurada. |
| CVE-2026-19489 | 8.8 | Desbordamiento de memoria que puede provocar comportamiento impredecible o denegación de servicio. Requiere SIP ALG habilitado en una configuración de grupo LSN. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| NetScaler ADC y NetScaler Gateway 14.1 | 14.1 anteriores a 14.1-73.32 | 14.1-73.32 |
| NetScaler ADC y NetScaler Gateway 13.1 | 13.1 anteriores a 13.1-63.21 | 13.1-63.21 |
| NetScaler ADC FIPS | Anteriores a 14.1-73.32 FIPS | 14.1-73.32 FIPS |
| NetScaler ADC FIPS y NDcPP | Anteriores a 13.1-37.277 | 13.1-37.277 |
Qué hacer ahora
- Identifica todos tus equipos NetScaler ADC y NetScaler Gateway y verifica qué versión tiene instalada cada uno.
- Instala la versión corregida que corresponda (14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS o 13.1-37.277) lo antes posible, según el aviso CTX696939 de Citrix.
- Prioriza los equipos expuestos a CVE-2026-19490: revisa en la configuración si aparecen
add authentication samlAction.*,add authentication vserver .*oadd vpn vserver .*. - Revisa si estás expuesto a CVE-2026-19489 buscando en la configuración la cadena
add lsn group.*sipalg.*.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Parte por los NetScaler que publican VPN o acceso remoto hacia Internet, sobre todo si usan autenticación SAML: son los más expuestos al bypass de autenticación y los que más daño pueden causar. Es común que haya equipos olvidados, como appliances secundarios en alta disponibilidad, ambientes de prueba o instancias virtuales en la nube, que no se actualizan junto con el principal; inclúyelos en el inventario.
Planifica una ventana de mantenimiento corta pero pronta, avisando a los usuarios remotos, y respalda la configuración antes de actualizar. Después del parche, revisa los registros de autenticación y sesiones VPN de los últimos días en busca de accesos inusuales, ya que un parche cierra la puerta pero no elimina un acceso que ya haya ocurrido.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Redes e InfraestructuraImplementamos y administramos firewalls de próxima generación con IPS/IDS, VPN con autenticación multifactor y segmentación por VLAN, para limitar quién puede llegar a los equipos expuestos.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →