Seguir Citrix ha lanzado actualizaciones de seguridad de emergencia para dos vulnerabilidades críticas de día cero que afectan a NetScaler ADC y NetScaler Gateway después de confirmar que los atacantes ya están explotando ambos fallos en ataques reales. Rastreadas como CVE-2026-88771 y CVE-2026-88772, las vulnerabilidades tienen cada una una puntuación CVSS v4.0 de 9.5 y pueden permitir la ejecución remota de código no autenticado en dispositivos vulnerables.
Las fallas son particularmente peligrosas porque los dispositivos NetScaler suelen estar en el borde de las redes empresariales, proporcionando entrega de aplicaciones, acceso VPN, autenticación y conectividad remota. Comprometerlos con éxito puede, por lo tanto, dar a los atacantes un punto de apoyo estratégicamente valioso entre los usuarios externos y la infraestructura interna.
CVE-2026-88771 es causado por una validación de entrada incorrecta y puede permitir que un atacante no autenticado ejecute comandos arbitrarios de forma remota. No es necesaria ninguna característica opcional o configuración especial: las implementaciones vulnerables de NetScaler ADC y Gateway están expuestas incluso en su configuración predeterminada.
CVE-2026-88772 es una vulnerabilidad de desbordamiento de memoria que puede resultar en la ejecución remota de código o en una denegación de servicio. La explotación requiere que DTLS esté habilitado, pero Citrix señala que DTLS está habilitado por defecto en servidores virtuales VPN, lo que hace que muchas implementaciones de NetScaler Gateway estén potencialmente expuestas sin que los administradores hayan activado explícitamente la función.
CISA agregó ambas vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas el 27 de septiembre de 2026, citando informes e inteligencia de socios que confirman la explotación global. Las agencias del Ramo Ejecutivo Civil Federal tuvieron hasta el 30 de septiembre para aplicar las correcciones de Citrix.
Análisis de CVE-2026-88771 y CVE-2026-88772
Los dos días cero proporcionan diferentes caminos técnicos para el compromiso, pero conducen a resultados igualmente graves.
Análisis de CVE-2026-88771 se centra en una debilidad de validación de entrada incorrecta clasificada como CWE-20. Citrix afirma que un atacante de red no autenticado puede explotar el fallo para ejecutar comandos arbitrarios en un dispositivo vulnerable de NetScaler.
La vulnerabilidad no requiere un modo de implementación especial. CVE-2026-88771 afecta a todas las instalaciones vulnerables de NetScaler ADC y NetScaler Gateway, incluidos los sistemas que ejecutan la configuración predeterminada.
Su vector CVSS 4.0 es:
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
La vulnerabilidad es accesible de manera remota, no requiere privilegios del atacante ni interacción de la víctima, y puede tener un alto impacto en la confidencialidad, integridad y disponibilidad.
CVE-2026-88772 sigue un camino diferente. La vulnerabilidad está clasificada como CWE-119, Restricción Incorrecta de Operaciones dentro de los Límites de un Búfer de Memoria. La corrupción de memoria desencadenada a través del camino DTLS vulnerable puede causar ya sea ejecución remota de código o denegación de servicio.
Los detalles clave para CVE-2026-88772 están relacionados con la configuración. La condición vulnerable existe cuando DTLS está habilitado en NetScaler ADC o Gateway. Citrix advierte específicamente que DTLS está habilitado por defecto en servidores virtuales VPN.
Por ejemplo, una configuración como:
add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE
no deshabilita explícitamente DTLS, lo que significa que el servidor virtual VPN sigue expuesto.
Una configuración que contiene:
-dtls OFF
no cumple con el requisito previo documentado para esta vulnerabilidad en particular.
Otros servidores virtuales configurados directamente con el tipo DTLS también pueden exponer la funcionalidad vulnerable.
CVE-2026-88772 tiene el siguiente vector CVSS 4.0:
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Aunque Citrix califica su complejidad de ataque más alta que CVE-2026-88771, la explotación exitosa aún puede proporcionar RCE no autenticado y potencialmente un compromiso total del dispositivo afectado.
Ambas vulnerabilidades afectan las siguientes versiones compatibles de NetScaler antes de sus construcciones corregidas respectivas:
- NetScaler ADC y NetScaler Gateway 14.1 antes de 14.1-73.37
- NetScaler ADC y NetScaler Gateway 13.1 antes de 13.1-64.23
- NetScaler ADC FIPS 14.1 antes de 14.1-73.37 FIPS
- NetScaler ADC FIPS y NDcPP 13.1 antes de 13.1-37.279
Los despliegues híbridos de Secure Private Access que utilizan instancias de NetScaler afectadas también requieren actualizaciones.
Los servicios en la nube gestionados por Citrix y la Autenticación Adaptativa gestionada por Citrix son manejados por Cloud Software Group, que aplica las actualizaciones de software necesarias a esos servicios gestionados.
La divulgación siguió advertencias inusuales durante el fin de semana previo. Antes de que Citrix publicara los identificadores de CVE y los parches, los investigadores de seguridad y los respondedores de incidentes habían informado evidencia de múltiples vulnerabilidades de RCE en NetScaler previamente no reveladas siendo explotadas contra dispositivos expuestos a Internet. Se informó que algunas organizaciones fueron aconsejadas a aislar o apagar temporalmente sistemas vulnerables mientras esperaban la remediación oficial.
Citrix publicó CTX697096 el 27 de septiembre, confirmando que la explotación de ambas vulnerabilidades había sido observada en despliegues no mitigados.
Las fechas exactas de descubrimiento privado no han sido divulgadas públicamente, y Citrix no ha identificado a los actores de amenaza responsables de los ataques ni ha proporcionado una fecha de inicio definitiva para la campaña de explotación.
Los ataques son significativos porque los dispositivos de borde proporcionan un atractivo punto de apoyo inicial. La ejecución exitosa de comandos o de código en un sistema NetScaler podría potencialmente permitir a los atacantes desplegar cargas útiles persistentes, acceder a material de autenticación, inspeccionar tráfico, robar credenciales, alterar la configuración o pivote hacia sistemas alcanzables desde el dispositivo.
Estas son potenciales consecuencias del compromiso del dispositivo. Citrix no ha documentado públicamente la cadena completa de post-explotación utilizada en cada ataque observado.
En la actualidad, no existe una PoC de CVE-2026-88771 completamente armada, independiente y verificada públicamente, referenciada en el asesoramiento de Citrix o los dos informes solicitados. Esto no reduce el riesgo inmediato: Citrix y CISA ya han confirmado que los atacantes poseen capacidades de explotación funcionales.
Citrix ha puesto a disposición capacidades genéricas de detección de compromisos a través de la NetScaler Console Security Advisory workflow. La característica requiere telemetría y está disponible a través del servicio Console, así como es compatible con las implementaciones de Consola localizadas que utilizan Cloud Connect.
No hay un conjunto completo público de IoCs de CVE-2026-88772 específicos del atacante, como direcciones IP, hashes de malware, dominios o cadenas de comandos en el material fuente. Las organizaciones deben, por lo tanto, evitar tratar la ausencia de una coincidencia de IoC conocida como evidencia de que un dispositivo está limpio.
Citrix advierte específicamente que sus verificaciones disponibles no pueden cubrir todas las técnicas de ataque y pueden no identificar cada compromiso. Por lo tanto, los registros externos y la evidencia forense son importantes.
Mitigación de CVE-2026-88771 y CVE-2026-88772
Citrix recomienda encarecidamente actualizar inmediatamente cada dispositivo afectado de NetScaler ADC y Gateway.
Los compilados corregidos son:
- NetScaler ADC / Gateway 14.1-73.37 o posterior
- NetScaler ADC / Gateway 13.1-64.23 o posterior
- NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS o posterior
- NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.279 o posterior
Los administradores que ejecutan 13.1 también deben revisar la última guía de actualización de Citrix. Citrix señala que algunos despliegues que utilizan variables de NetScaler pueden encontrar un problema de bucle de reinicio durante la actualización a 13.1-64.23 y aconseja planificar para 13.1-64.24 donde sea aplicable.
Para CVE-2026-88771 no hay un requisito de configuración que los administradores puedan simplemente desactivar. La vulnerabilidad afecta las configuraciones predeterminadas, por lo que reducir la exposición no reemplaza la instalación de la actualización del proveedor.
La mitigación primaria de CVE-2026-88772 también es actualizar a un compilado corregido. Los administradores pueden además determinar si la condición DTLS vulnerable existe y, donde sea operacionalmente apropiado, desactivar explícitamente DTLS en servidores virtuales VPN hasta que se complete el parcheo. Esto debería verse solo como una reducción de la exposición para ese CVE, no como un sustituto de la actualización del dispositivo.
Debido a que la explotación ya ha ocurrido, los defensores deben abordar la remediación como un ejercicio tanto de parcheo como de respuesta a incidentes.
La detección de CVE-2026-88771 debe comenzar identificando cada dispositivo administrado por el cliente de NetScaler ADC y Gateway, determinando su compilado exacto en ejecución y estableciendo si estaba accesible por internet antes de la remediación.
Para la segunda falla, los equipos de seguridad deben inspeccionar la configuración en ejecución en busca de servidores virtuales VPN u otros con DTLS habilitado.
To Detectar la explotación de CVE-2026-88772 o la actividad sospechosa relacionada con cualquiera de los dos días cero, los defensores deben investigar:
- Comandos inesperados o procesos en dispositivos NetScaler
- Archivos recién creados o modificados sin una explicación administrativa legítima
- Cambios de configuración inexplicados
- Configuración de autenticación nueva o modificada
- Conexiones salientes anormales desde el dispositivo
- Conexiones inesperadas de NetScaler hacia servidores internos
- Caídas del dispositivo o reinicios inexplicados
- Timestamps que muestran cambios no autorizados durante períodos de acceso externo sospechoso
- Nuevos mecanismos de persistencia o archivos accesibles por la web
- Actividad de autenticación inusual asociada con el dispositivo
- Diferencias entre los registros de dispositivos locales y la telemetría de red o SIEM almacenada externamente
Estos comportamientos son indicios de investigación más que firmas únicas para las vulnerabilidades.
Las organizaciones deben ejecutar el escaneo de IoC disponible de Citrix a través de NetScaler Console, pero no deben detenerse allí. Citrix advierte que un escaneo limpio no puede demostrar concluyentemente que no ocurrió explotación.
Reenviar los registros del dispositivo a un SIEM externo es particularmente valioso. Un atacante con ejecución de código en un dispositivo de borde puede alterar o eliminar evidencia local, mientras que los registros de firewall, autenticación, DNS, NetFlow, proxy y SIEM almacenados externamente permanecen fuera del sistema comprometido.
CISA también ha enfatizado el triage forense como parte de su guía de remediación para las dos vulnerabilidades.
Si se sospecha de compromiso, las acciones de respuesta recomendadas incluyen:
- Preservar evidencia del dispositivo NetScaler afectado
- Aislar el dispositivo
- Revocar las credenciales y el acceso afectados
- Investigar los sistemas con los que el dispositivo se comunicó
- Reconstruir el dispositivo comprometido
- Actualizar a una versión de firmware corregida
- Rotar las contraseñas de las cuentas locales
- Rotar las Claves de Cifrado de Claves donde sea apropiado
- Reemplazar los certificados SSL restaurados si se reconstruye desde una copia de seguridad conocida como buena
- Fortalecer el dispositivo reconstruido según la guía de seguridad de Citrix
Parchear un dispositivo previamente comprometido no elimina la persistencia, shells web, credenciales robadas, u otros artefactos de atacante que ya puedan existir.
Las organizaciones deben, por lo tanto, tratar cualquier dispositivo vulnerable expuesto a internet durante el período de explotación conocido como requiriendo investigación retrospectiva.
FAQ
¿Qué son CVE-2026-88771 y CVE-2026-88772 y cómo funcionan?
CVE-2026-88771 es una vulnerabilidad de validación de entrada incorrecta en NetScaler ADC y Gateway que permite a un atacante remoto no autenticado ejecutar comandos arbitrarios. CVE-2026-88772 es un desbordamiento de memoria que afecta a implementaciones con DTLS habilitado y puede causar ejecución remota de código o denegación de servicio. DTLS está habilitado por defecto en servidores virtuales VPN de NetScaler.
¿Cuándo se descubrieron por primera vez CVE-2026-88771 y CVE-2026-88772?
Citrix no ha divulgado públicamente las fechas exactas de descubrimiento original. Los informes de días cero de RCE en NetScaler explotados surgieron inmediatamente antes del aviso del proveedor, y Citrix divulgó oficialmente ambas vulnerabilidades el 27 de septiembre de 2026 en el boletín CTX697096. CISA las añadió al catálogo de KEV el mismo día.
¿Cuál es el impacto de CVE-2026-88771 y CVE-2026-88772 en los sistemas?
Ambas vulnerabilidades pueden habilitar la ejecución remota de código no autenticado en dispositivos NetScaler afectados. CVE-2026-88772 también puede causar denegación de servicio. El compromiso exitoso de un gateway perimetral puede exponer configuraciones sensibles, materiales de autenticación y sistemas conectados, y proporcionar a los atacantes un punto de apoyo para una intrusión adicional.
¿Pueden CVE-2026-88771 y CVE-2026-88772 seguir afectándome en el año 2026?
Sí. Los sistemas NetScaler ADC y Gateway que ejecutan versiones anteriores a 14.1-73.37 o 13.1-64.23 siguen siendo vulnerables, junto con las construcciones FIPS y NDcPP afectadas correspondientes. Ambas vulnerabilidades ya están siendo explotadas globalmente y están listadas en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA.
¿Cómo puedo protegerme de CVE-2026-88771 y CVE-2026-88772?
Actualice inmediatamente a la versión corregida adecuada de NetScaler. Verifique la exposición de DTLS, ejecute los chequeos de compromiso de Citrix, conserve los registros y la evidencia forense, e investigue dispositivos que estuvieron expuestos antes del parcheo. Si se sospecha de compromiso, aísle y reconstruya el dispositivo, rotar credenciales y material de cifrado, e investigue sistemas que fueron alcanzables desde el dispositivo NetScaler comprometido.
