Citrix corrige una falla crítica en NetScaler ADC y Gateway que puede permitir ejecución remota de código vía SAML

Citrix publicó actualizaciones para CVE-2026-107406, una vulnerabilidad de desbordamiento de memoria en NetScaler ADC y NetScaler Gateway. Bajo ciertas condiciones de configuración, la falla puede derivar en ejecución remota de código o en denegación de servicio. El registro del CVE en la National Vulnerability Database le asigna un puntaje CVSS 4.0 de 9.5 sobre 10. Es la misma cifra que informan los medios que cubrieron el boletín de seguridad de Citrix.

El problema afecta solo a los equipos configurados como proveedor de identidad (IdP) o proveedor de servicio (SP) de SAML. También alcanza a los despliegues híbridos de Secure Private Access que usan instancias de NetScaler. Según recogieron BleepingComputer y SecurityWeek, el fabricante recomienda a los clientes afectados revisar el aviso y actualizar esas instancias a las versiones corregidas lo antes posible.

Versiones afectadas

La exposición depende de la versión y del rol SAML que cumpla el equipo.

En estas versiones, la falla aplica solo cuando el equipo funciona como SAML IdP:

• NetScaler ADC y NetScaler Gateway entre 14.1-73.37 y 14.1-73.41, inclusive.
• NetScaler ADC 14.1-FIPS entre 14.1-73.37 FIPS y 14.1-73.41 FIPS, inclusive.
• NetScaler ADC y NetScaler Gateway entre 13.1-64.23 y 13.1-64.28, inclusive.
• NetScaler ADC 13.1-FIPS entre 13.1-NDcPP 13.1-37.279 y 13.1-37.282, inclusive.

En estas versiones, aplica cuando el equipo funciona como SAML SP o como SAML IdP:

• NetScaler ADC y NetScaler Gateway anteriores a 14.1-73.37.
• NetScaler ADC 14.1-FIPS anteriores a 14.1-73.37 FIPS.
• NetScaler ADC y NetScaler Gateway anteriores a 13.1-64.23.
• NetScaler ADC 13.1-FIPS anteriores a 13.1-NDcPP 13.1-37.279.

Versiones corregidas

Según el boletín, la falla está resuelta en:

• NetScaler ADC y NetScaler Gateway 14.1-73.46 y posteriores.
• NetScaler ADC y NetScaler Gateway 13.1-64.29 y posteriores de la rama 13.1.
• NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS y posteriores de la rama 14.1-FIPS.
• NetScaler ADC 13.1-FIPS y 13.1-NDcPP 13.1.37.283 y posteriores de esas ramas.

Cómo saber si un equipo está en riesgo

The Hacker News indica que los administradores pueden verificar el rol SAML revisando la configuración del equipo. La presencia de entradas add authentication samlAction indica que funciona como SP. La presencia de entradas add authentication samlIdPProfile indica que funciona como IdP.

La organización Shadowserver registra más de 21.000 direcciones IP con huellas de NetScaler expuestas en internet: poco más de 1.500 instancias de Gateway y cerca de 20.000 de ADC, según BleepingComputer. El mismo medio aclara que no se sabe cuántas son señuelos, cuántas ya están parcheadas ni cuántas tienen la configuración vulnerable.

Estado de explotación

Citrix afirmó que, a la fecha de publicación del boletín, no tenía conocimiento de explotaciones de esta vulnerabilidad sin mitigar. El registro de la NVD indica que la falla no figura en el catálogo de vulnerabilidades explotadas activamente (KEV) de la agencia estadounidense CISA.

El hallazgo se atribuye a Michael Tucker, Chew Keong Tan y Alex Bernier, del equipo XOR de JPMorgan Chase, y a Maxim Suhanov.

Un año con varias fallas explotadas en NetScaler

El aviso llega en un contexto delicado para la plataforma. En septiembre, Citrix corrigió CVE-2026-88771 y CVE-2026-88772, dos fallas de día cero que ya se estaban explotando. Según BleepingComputer, esos ataques permitieron instalar web shells y malware de tunelización, robar credenciales, obtener acceso root y moverse hacia las redes internas de las víctimas. A comienzos de octubre llegó una actualización de emergencia para CVE-2026-88779, otro día cero de denegación de servicio.

SecurityWeek informó que esas fallas se usaron contra organismos de gobierno, servicios financieros, educación y estudios legales y profesionales. En marzo, además, Citrix había pedido parchear CVE-2026-3055 y CVE-2026-4368 días antes de que empezaran a ser explotadas. BleepingComputer recuerda que CISA lleva contabilizadas 27 vulnerabilidades de Citrix explotadas activamente desde noviembre de 2021, siete de ellas en ataques de ransomware.

Por qué importa en Latinoamérica

Las fuentes consultadas no traen cifras sobre equipos NetScaler expuestos o vulnerables en países de la región. Aun así, NetScaler Gateway es una solución habitual de acceso remoto seguro y NetScaler ADC se usa para balancear y publicar aplicaciones. Bancos, aseguradoras, organismos públicos, universidades y grandes empresas latinoamericanas suelen depender de este tipo de equipos para el teletrabajo y para el inicio de sesión único federado mediante SAML. Son los mismos sectores que aparecieron como blanco en las campañas recientes contra NetScaler.

Como la exposición depende de que el equipo tenga un rol SAML, cualquier organización que federe identidades a través de estos equipos debería tratar la actualización como prioridad, aunque por ahora no haya explotación conocida.

Qué conviene hacer

• Inventariar todas las instancias de NetScaler ADC y Gateway, incluidas las que forman parte de despliegues híbridos de Secure Private Access.
• Verificar si cumplen el rol de SAML IdP o SP con las entradas de configuración indicadas.
• Actualizar a las versiones corregidas siguiendo el boletín CTX697191.
• Dado el historial reciente, revisar también que estén aplicados los parches de CVE-2026-88771, CVE-2026-88772 y CVE-2026-88779.