La Citrix NetScaler vulnerabilidad que más preocupa hoy no es un rumor de fin de semana: Cloud Software Group publicó el 27 de septiembre de 2026 el boletín CTX697096. El aviso cubre ocho fallos en Citrix NetScaler ADC y Citrix NetScaler Gateway. Las dos más graves, CVE-2026-88771 y CVE-2026-88772, permiten ejecución remota de código y, según el propio fabricante, ya se han explotado en equipos sin mitigar.
El boletín tiene severidad crítica. Las compilaciones corregidas salieron el mismo día en el área de descargas de Citrix: 14.1-73.37 y 13.1-64.23, con equivalentes FIPS. No hay parche para versiones fuera de soporte. El aviso aplica solo a appliances y virtual appliances gestionados por el cliente; Citrix indica que sus servicios en la nube se actualizan por su cuenta.
Qué ha confirmado Citrix y qué no
Durante el fin de semana, investigadores de watchTowr y avisos de centros nacionales de ciberseguridad —entre ellos el NCSC de Países Bajos— habían alertado de dos RCE sin parche y en uso real. Citrix no había publicado identificadores CVE ni versiones afectadas. El boletín de esta tarde cierra esa laguna con datos concretos.
CVE-2026-88771 es un fallo de validación de entrada (CWE-20). Un atacante no autenticado puede ejecutar órdenes arbitrarias. La precondición es amplia: todos los despliegues de NetScaler ADC y Gateway, incluida la configuración por defecto. No hace falta activar un módulo extra. La puntuación CVSS v4.0 es 9.5.
CVE-2026-88772 es un desbordamiento de memoria (CWE-119) que puede acabar en RCE o en denegación de servicio. Requiere DTLS activo. En los servidores virtuales VPN, DTLS viene activado por defecto salvo que se desactive de forma explícita con -dtls OFF. También puntúa 9.5.
Citrix no ha publicado indicadores de compromiso, firmas de explotación ni una estimación del número de víctimas. Tampoco ha descrito la cadena de ataque. Lo que sí afirma, en frase literal del boletín, es que se han observado exploits de ambos CVE en despliegues no mitigados. Esa frase basta para tratar el parcheo como urgente, no como mantenimiento rutinario.
Las otras seis fallas del mismo boletín
El paquete no se limita a los dos RCE explotados. Citrix lista seis CVE adicionales, todas con precondiciones más concretas:
- CVE-2026-88773 (9.3): HTTP request smuggling si hay servidores virtuales HTTP o SSL de balanceo, content switching, VPN o autenticación.
- CVE-2026-88774 (7.0): bypass de políticas cuando hay expresiones basadas en URL HTTP.
- CVE-2026-88775 (8.8): desbordamiento de memoria en Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o en un servidor virtual AAA.
- CVE-2026-88776 (8.8): el mismo tipo de fallo en un servidor virtual de balanceo de tipo Oracle.
- CVE-2026-88777 (8.8): desbordamiento en escenarios LB/CS o CGNAT-LSN/NAT64 con protocolos L7 no HTTP (FTP, RTSP, DNS64, NAT64, entre otros).
- CVE-2026-88778 (8.8): predicción del número de secuencia inicial TCP si la generación mejorada de ISN está desactivada.
Para CVE-2026-88778 el fabricante no se limita al firmware. Pide aplicar el cambio de configuración TCP documentado en la gía de Enhanced ISN Generation. El comando de comprobación es show ns tcpparam y buscar la línea «Enhanced ISN Generation».
Citrix agradece a Michael Tucker, Chew Keong Tan y Alex Bernier, del equipo XOR de JPMorgan Chase, y a Maxim Suhanov, por haber trabajado con la compañía. El boletín no atribuye de forma pública el hallazgo de los dos RCE explotados a un investigador concreto.
Qué versiones hay que instalar
Las ramas afectadas, según el resumen del boletín, son:
- NetScaler ADC y Gateway 14.1 anterior a 14.1-73.37
- NetScaler ADC y Gateway 13.1 anterior a 13.1-64.23
- NetScaler ADC FIPS 14.1 anterior a 14.1-73.37 FIPS
- NetScaler ADC FIPS y NDcPP 13.1 anterior a 13.1-37.279
En la página de descargas de Citrix, la compilación 14.1-73.37 aparece fechada el 27 de septiembre de 2026 para VPX, firmware, CPX y BLX. También hay una nota explícita: los despliegues híbridos de Secure Private Access que usan instancias NetScaler sí están afectados y deben actualizar esas instancias.
El aviso no cubre productos que ya no reciben actualizaciones. Si un appliance sigue en 13.0 u otra rama retirada, el único camino documentado es migrar a una versión soportada y parcheada. No hay mitigación de configuración equivalente a un parche para CVE-2026-88771: el fabricante insiste en instalar el firmware.
Cómo comprobar si el equipo cumple las precondiciones
El boletín incluye patrones de configuración para que un administrador busque en /nsconfig/ns.conf o en la salida de show ns runningConfig. Los más útiles en un primer triage:
Para DTLS (CVE-2026-88772): un add vpn vserver sin -dtls OFF implica DTLS activo. Un servidor virtual de tipo DTLS también cumple la precondición.
Para Gateway y AAA (CVE-2026-88775): cualquier add vpn vserver o add authentication vserver.
Para HTTP smuggling y bypass de políticas: servidores virtuales LB, CS, VPN o autenticación de tipo HTTP o SSL.
Esa lista no sustituye al parche. Sirve para priorizar qué appliances exponer primero a Internet y cuáles pueden esperar unas horas si el equipo de sistemas no puede tocar todos a la vez. En España, NetScaler sigue siendo habitual como Gateway de acceso remoto y como ADC delante de aplicaciones internas. Un equipo expuesto en 443 con VPN o AAA encaja de lleno en las precondiciones de los CVE más graves.
Qué cambia para empresas en España y la UE
No hay un aviso específico de la AEPD ni del CCN-CERT ligado a estos CVE en el momento de escribir este texto. Eso no reduce la obligación de tratar el incidente. Un NetScaler comprometido suele ser la puerta de entrada a directorios, escritorios virtuales y aplicaciones internas. El impacto encaja con el tipo de riesgo que la AEPD ya describe cuando un sistema interno queda al alcance de un actor externo: acceso a datos, movimiento lateral y, si hay datos personales, posible notificación.
El Reglamento de Ciberresiliencia no convierte este parche en un trámite burocrático inmediato, pero sí refuerza la idea de que un producto con elemento digital debe poder actualizarse. Un appliance abandonado en una rama sin soporte es, en la práctica, un activo que ya no cumple ese requisito.
Si la organización usa el appliance como VPN corporativa, conviene revisar también los registros de autenticación de los últimos días, las sesiones ICA o RDP anómalas y cualquier cuenta de administración creada fuera de cambio. Citrix no ha publicado IoC; esa revisión es heurística, no una receta oficial.
Quien gestione un parque mixto de acceso remoto —NetScaler, otros gateways, verificación de desarrolladores en móviles corporativos— debería tratar este aviso como un ítem separado del calendario de Android del 30 de septiembre. Son frentes distintos: uno es perímetro de red, el otro es la cadena de instalación en el teléfono.
Qué puede pasar ahora
Lo previsible, a falta de un informe forense público, es una oleada de escaneos contra puertos 443 de NetScaler en cuanto el texto del boletín se reproduzca. Eso ya ocurrió con avisos anteriores de la familia CitrixBleed y con CVE-2026-19490, añadido al catálogo KEV de CISA el 9 de septiembre. Tenable recordaba este domingo que, incluyendo aquel CVE, había 13 entradas de NetScaler en KEV. Esta nueva pareja de RCE encaja en el mismo patrón de producto muy expuesto y parcheo lento.
Citrix puede ampliar el boletín con IoC o con una herramienta de comprobación. Hasta que eso ocurra, la acción útil es instalar 14.1-73.37 o 13.1-64.23, reiniciar de forma controlada y documentar la versión resultante. Quien no pueda parchear en horas debería al menos reducir la superficie: no exponer la interfaz de gestión a Internet y revisar si DTLS puede desactivarse en VPN que no lo necesiten. Eso no cierra CVE-2026-88771, que no pide características extra, pero sí recorta el segundo RCE.
El aviso de hoy no es un rumor de Twitter ni un filtrado sin número CVE. Es un boletín crítico del fabricante, con exploits observados y firmware publicado el mismo día. Para un administrador de NetScaler en España, la prioridad es concreta: actualizar, comprobar la versión y no dejar el appliance en una build anterior a las cifras que Citrix acaba de marcar como mínimo seguro.
Deja una respuesta