Citrix corrigió 8 vulnerabilidades en NetScaler ADC y NetScaler Gateway administrados por el cliente. Dos de ellas permiten ejecutar código de forma remota sin autenticación y ya se están explotando. Si usas estos equipos, actualízalos de inmediato y revisa si los expuestos a Internet fueron comprometidos.
Qué está pasando
El 27 de septiembre de 2026, Citrix publicó un boletín que corrige 8 vulnerabilidades en Citrix NetScaler ADC y Citrix NetScaler Gateway instalados y administrados por el propio cliente. Las dos más graves (CVE-2026-88771 y CVE-2026-88772, ambas con CVSS 9.5) permiten a un atacante ejecutar código en el equipo sin necesidad de credenciales, y Citrix confirmó que ya se están explotando.
CVE-2026-88771 se debe a una validación incorrecta de datos de entrada y no requiere ninguna condición previa, por lo que afecta a todos los despliegues. CVE-2026-88772 es un desbordamiento de memoria que puede llevar a ejecución de código o a una caída del servicio, y afecta a los equipos con DTLS habilitado, que viene activo por defecto en los VPN vServer.
El resto de las fallas depende de la configuración: HTTP Request Smuggling y evasión de políticas cuando hay expresiones de política basadas en URL HTTP; desbordamientos de memoria que pueden causar comportamiento errático o denegación de servicio cuando hay ciertos vServer configurados (gateway o AAA, LB de tipo Oracle, LB/CS o CGNAT-LSN/NAT64 con protocolos L7 no HTTP); y una predicción del número de secuencia inicial TCP (ISN) cuando la opción Enhanced ISN Generation está deshabilitada.
El boletín aplica solo a despliegues administrados por el cliente. Los despliegues Secure Private Access Hybrid que usan instancias NetScaler también están afectados y deben actualizarse.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-88771 | 9.5 | Ejecución remota de código sin autenticación por validación incorrecta de entrada. Afecta a todos los despliegues. Explotada activamente. |
| CVE-2026-88772 | 9.5 | Desbordamiento de memoria que permite ejecución remota de código o denegación de servicio en equipos con DTLS habilitado (activo por defecto en VPN vServer). Explotada activamente. |
| CVE-2026-88773 | 9.3 | HTTP Request Smuggling en despliegues con una expresión de política basada en URL HTTP configurada. |
| CVE-2026-88774 | 7.0 | Evasión de políticas mediante expresiones basadas en URL HTTP, en despliegues que las tienen configuradas. |
| CVE-2026-88775 | 8.8 | Desbordamiento de memoria que provoca comportamiento impredecible o denegación de servicio cuando hay un gateway o AAA vServer configurado. |
| CVE-2026-88776 | 8.8 | Desbordamiento de memoria que provoca comportamiento impredecible o denegación de servicio cuando hay un LB vServer de tipo Oracle configurado. |
| CVE-2026-88777 | 8.8 | Desbordamiento de memoria que provoca comportamiento impredecible o denegación de servicio cuando hay LB/CS o CGNAT-LSN/NAT64 con un protocolo L7 no HTTP habilitado. |
| CVE-2026-88778 | 8.8 | Predicción del número de secuencia inicial TCP (ISN) cuando hay una configuración TCP con Enhanced ISN Generation deshabilitado. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Citrix NetScaler ADC y NetScaler Gateway | 13.1 anteriores a 13.1-64.23 | 13.1-64.23 |
| Citrix NetScaler ADC y NetScaler Gateway | 14.1 anteriores a 14.1-73.37 | 14.1-73.37 |
| Citrix NetScaler ADC FIPS | 14.1 anteriores a 14.1-73.37 FIPS | 14.1-73.37 FIPS |
| Citrix NetScaler ADC FIPS y NDcPP | 13.1 anteriores a 13.1-37.279 | 13.1-37.279 |
| Secure Private Access Hybrid (con instancias NetScaler) | Despliegues que usan instancias NetScaler afectadas | — |
Qué hacer ahora
- Actualiza de inmediato todos los equipos NetScaler ADC y NetScaler Gateway administrados por tu empresa a la versión corregida que corresponda (13.1-64.23, 14.1-73.37, 14.1-73.37 FIPS o 13.1-37.279).
- Actualiza también las instancias NetScaler usadas en despliegues Secure Private Access Hybrid.
- Realiza una evaluación de compromiso en todo equipo expuesto a Internet que haya estado ejecutando una versión afectada.
- Habilita Enhanced ISN Generation en los despliegues que tengan una configuración TCP activa.
- Revisa en el boletín de Citrix (CTX697096) los pasos para verificar qué condiciones previas aplican a tu configuración.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Estos equipos suelen ser la puerta de entrada de la VPN y del acceso remoto, por lo que una falla explotada aquí equivale a dejar la puerta principal abierta. Prioriza los NetScaler expuestos a Internet: actualízalos hoy y no des por cerrado el tema con el parche, porque si el equipo fue comprometido antes de actualizar, el atacante puede haber dejado accesos persistentes. Revisa registros, cuentas y sesiones activas, y considera cambiar credenciales administrativas y de servicios que pasen por el equipo.
Lo que más se pasa por alto son los equipos secundarios: nodos de alta disponibilidad, instancias de prueba o appliances virtuales olvidados que siguen respondiendo desde Internet. Haz un inventario completo de tus NetScaler, confirma la versión de cada uno y, mientras actualizas, restringe el acceso a las interfaces de administración solo a redes internas de confianza.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Redes e InfraestructuraImplementamos y administramos firewalls de próxima generación con IPS/IDS, VPN con autenticación multifactor y segmentación por VLAN, para limitar quién puede llegar a los equipos expuestos.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697096
- https://docs.netscaler.com/en-us/citrix-adc/current-release/system/tcp-configurations.html#enhanced-isn-generation