Un fallo de 9,5 que exige una configuración concreta
El 9 de octubre Citrix publicó parches para CVE-2026-107406, un desbordamiento de memoria en NetScaler ADC y NetScaler Gateway que puede llevar a ejecución remota de código o denegación de servicio en condiciones de configuración específicas. Puntúa 9,5 en CVSS v4.0 y está clasificado como CWE-119, restricción incorrecta de operaciones dentro de un búfer de memoria.
Citrix dice que no hay indicios de explotación activa, aunque The Register señala que no aclaró si el fallo se usó como día cero antes de divulgarse. Citrix atribuyó el hallazgo a investigadores del equipo XOR de JPMorgan Chase y a Maxim Suhanov.
La comprobación de dos líneas
El fallo solo se puede explotar cuando el equipo está configurado como proveedor de identidad SAML o como proveedor de servicio, y la configuración indica cuál es el caso.
The Hacker News enumera dos entradas que buscar. Un proveedor de servicio SAML lleva una línea que empieza por add authentication samlAction, y un proveedor de identidad SAML otra que empieza por add authentication samlIdPProfile. Busca ambas en tu configuración guardada. Si no existe ninguna, esa condición concreta no se cumple, aunque eso no exime al equipo de los otros fallos de NetScaler que siguen.
Qué versiones están afectadas
Qué versiones son vulnerables depende del rol SAML. Las más antiguas están expuestas en cualquiera de los dos roles, y algunas más nuevas solo como proveedor de identidad.
| Rama | Expuesta como SP o IdP SAML | Expuesta solo como IdP SAML | Corregida en |
|---|---|---|---|
| ADC y Gateway 14.1 | Anteriores a 14.1-73.37 | 14.1-73.37 a 14.1-73.41 | 14.1-73.46 y posteriores |
| ADC 14.1-FIPS | Anteriores a 14.1-73.37 FIPS | 14.1-73.37 FIPS a 14.1-73.41 FIPS | 14.1-73.46 FIPS y posteriores |
| ADC y Gateway 13.1 | Anteriores a 13.1-64.23 | 13.1-64.23 a 13.1-64.28 | 13.1-64.29 y posteriores |
| ADC 13.1-FIPS y 13.1-NDcPP | Anteriores a 13.1-37.279 | 13.1-37.279 a 13.1-37.282 | 13.1-37.283 y posteriores |
Los despliegues de Secure Private Access Hybrid que usan instancias NetScaler también están afectados y necesitan la misma actualización. Citrix se encarga de las actualizaciones de sus servicios en la nube gestionados y de Adaptive Authentication, así que ahí no hay nada que instalar, mientras que quien opera sus propios equipos tiene que actualizarlos.
La misma función está detrás de los fallos explotados
The Hacker News enumera otros tres fallos de NetScaler bajo explotación activa: CVE-2026-88771, CVE-2026-88772 y CVE-2026-88779. Investigadores de Google dijeron que una campaña que explota CVE-2026-88772 llevaba activa desde al menos principios de septiembre, con organizaciones de gobierno, finanzas, derecho y educación de Norteamérica y Europa probablemente afectadas, informa The Register. Citrix divulgó CVE-2026-88779, con puntuación 8,7, el viernes anterior, y The Register señala que este y el nuevo fallo son desbordamientos de memoria que afectan a configuraciones SAML.
Citrix no ha identificado el nuevo fallo como explotado, y eso es una afirmación sobre hoy. Como la misma función ha producido fallos explotados en las últimas semanas, planificaríamos dando por hecho que los atacantes también leen este aviso.
Un orden de prioridades para esta semana
Haz primero la comprobación de configuración, porque separa tus equipos entre los que hay que parchear esta semana y los que pueden esperar al ciclo normal.
Los equipos con configuración SAML van primero, a 14.1-73.46, 13.1-64.29 o el build FIPS correspondiente, y todo lo que aún no tenga las correcciones de los tres fallos explotados va por delante de este. Si no puedes actualizar en 72 horas, limita mientras tanto quién puede llegar a los puntos de acceso SAML.
Después trata NetScaler como cualquier pasarela de autenticación expuesta a internet: un responsable con nombre, una suscripción a avisos y una ventana fija de parches. Citrix ha emitido ahora un aviso crítico además de tres fallos explotados en pocas semanas, y un ciclo mensual no cubre un patrón así.
Leer a continuación: Parcheado en junio, explotado en agosto: la falla de NetScaler | CitrixBleed vuelve, explotado en menos de un día
