Dos fallas críticas en Citrix NetScaler ADC y Gateway permiten ejecutar código a distancia y ya se explotan

Citrix confirmó el 27 de septiembre de 2026 que dos fallas críticas en sus equipos NetScaler ADC y NetScaler Gateway se explotaron como fallas de día cero, es decir, antes de que existiera un parche. Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos, conocida como CISA, sumó CVE-2026-88771 y CVE-2026-88772 a su catálogo de vulnerabilidades explotadas. Los atacantes usaron estas fallas para instalar web shellsPrograma malicioso instalado en un servidor web que permite a un atacante enviarle órdenes a distancia mediante solicitudes web y usarlo para colocar otros archivos. y asegurarse un acceso permanente dentro de las organizaciones.

Qué es la falla

Son dos vulnerabilidades distintas que llevan al mismo resultado grave: la ejecución remota de código, que permite correr órdenes en el equipo sin estar sentado frente a él. CVE-2026-88771 surge de una validación incorrecta de la entrada y deja que un atacante sin autenticación ejecute comandos arbitrarios contra NetScaler ADC y NetScaler Gateway. Según Citrix, su complejidad de ataque es baja, lo que la vuelve especialmente peligrosa. CVE-2026-88772 es un desbordamiento de memoria que puede derivar en ejecución remota de código o en una denegación de servicio sobre la configuración DTLS; su complejidad de ataque es alta, de modo que lograr una explotación confiable le resulta más difícil al atacante.

Ambas fallas tienen un puntaje CVSS v4.0 de 9.5, en la franja crítica.

A quién afecta

CVE-2026-88771 alcanza a todas las instancias de NetScaler ADC y NetScaler Gateway en su configuración predeterminada, sin que haga falta activar ninguna función adicional. CVE-2026-88772 afecta a los despliegues con DTLS habilitado, algo que, según el boletín de Citrix, viene activado de forma predeterminada en los servidores virtuales de VPN salvo que se lo desactive de forma explícita.

Las versiones afectadas son ADC y Gateway anteriores a 14.1-73.37 y anteriores a 13.1-64.23, además de las variantes FIPS y NDcPP anteriores a las correspondientes correcciones.

Estado de explotación

El estado es explotada, según Citrix y CISA. El fabricante indicó que observó explotación de ambas fallas en despliegues sin mitigar, y CISA informó que distintos actores las están aprovechando de forma activa a nivel global. La firma de seguridad Unit 42, de Palo Alto Networks, identificó al 27 de septiembre de 2026 unas 50.000 instancias expuestas en internet que podrían ser vulnerables, según su telemetría. Rapid7 confirmó que las dos fallas se explotaron como días cero antes de la divulgación del fabricante.

Qué hacer

CISA y Rapid7 recomiendan actuar de inmediato, fuera de los ciclos normales de actualización. Los pasos son estos:

• Verificar la versión del equipo y si la configuración cumple las condiciones de cada falla, con las instrucciones del boletín CTX697096 de Citrix.
• Actualizar a NetScaler ADC y Gateway 14.1-73.37 o 13.1-64.23, o a las versiones FIPS y NDcPP corregidas.
• Buscar indicadores de compromisoRastros técnicos, como direcciones IP, nombres de archivo o huellas digitales de archivos, que permiten detectar si un sistema fue atacado por una amenaza conocida. antes de aplicar el parche, porque la actualización puede reducir la evidencia forense, según CISA.
• Ante sospecha de compromiso, restaurar una copia de seguridad previa al ataque y rotar todas las credenciales, claves y certificados.

Ficha técnica

• CVE-2026-88771: validación incorrecta de entrada que lleva a ejecución remota de código sin autenticación. CWE-20. CVSS v4.0 9.5, vector AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H.
• CVE-2026-88772: desbordamiento de memoria que lleva a ejecución remota de código o denegación de servicio en la configuración DTLS. CWE-119. CVSS v4.0 9.5, vector AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H.
• Versiones corregidas: NetScaler ADC y Gateway 14.1-73.37 y 13.1-64.23; ADC 14.1-73.37 FIPS; ADC 13.1.37.279 FIPS y NDcPP.
• Aviso del fabricante: boletín CTX697096 de Citrix, del 27 de septiembre de 2026.
• Alta en el catálogo KEV de CISA: 27 de septiembre de 2026.