Vulnerabilidades críticas en Citrix NetScaler ADC y NetScaler Gateway

Vulnerabilidad - 11/10/2023

Introducción

Se han descubierto múltiples vulnerabilidades, una de ellas crítica, en NetScaler ADC (anteriormente Citrix ADC) y NetScaler Gateway (anteriormente Citrix Gateway) que permiten la divulgación de información o la denegación de servicios.

Análisis

CVE-2023-4966 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L - 9.4:

Revelación de información sensible en NetScaler ADC y NetScaler Gateway cuando se configura como Gateway (servidor virtual VPN, ICA Proxy, CVPN, RDP Proxy) o servidor virtual AAA. No se ha especificado qué información puede revelarse.

CVE-2023-4967 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H - 8.2:

Denegación de servicio en NetScaler ADC y NetScaler Gateway cuando se configura como Gateway (servidor virtual VPN, ICA Proxy, CVPN, RDP Proxy) o servidor virtual AAA.

Versiones afectadas

• NetScaler ADC y NetScaler Gateway 14.1 antes de 14.1-8.50
• NetScaler ADC y NetScaler Gateway 13.1 antes de 13.1-49.15
• NetScaler ADC y NetScaler Gateway 13.0 antes de 13.0-92.19
• NetScaler ADC 13.1-FIPS antes de 13.1-37.164
• NetScaler ADC 12.1-FIPS antes de 12.1-55.300
• NetScaler ADC 12.1-NDcPP antes de 12.1-55.300

Recomendaciones

• Actualice a NetScaler ADC y NetScaler Gateway 14.1-8.50 y versiones posteriores
• Actualice a NetScaler ADC y NetScaler Gateway 13.1-49.15 y versiones posteriores de 13.1
• Actualice a NetScaler ADC y NetScaler Gateway 13.0-92.19 y versiones posteriores de 13.0 
• Actualice a NetScaler ADC 13.1-FIPS 13.1-37.164 y versiones posteriores de 13.1-FIPS 
• Actualice a NetScaler ADC 12.1-FIPS 12.1-55.300 y versiones posteriores de 12.1-FIPS 
• Actualice a NetScaler ADC 12.1-NDcPP 12.1-55.300 y versiones posteriores de 12.1-NDcPP

Referencias

https://support.citrix.com/article/CTX579459

https://nvd.nist.gov/vuln/detail/CVE-2023-4966 
https://nvd.nist.gov/vuln/detail/CVE-2023-4967

Vulnerabilidad - 28/09/2026

Introducción

CVE-2026-88771 y CVE-2026-88772 son dos vulnerabilidades de Citrix NetScaler ADC y NetScaler Gateway, con una score de CVSS de 9.5 (Crítico). Ambas tienen un impacto Alto en confidencialidad, integridad y disponibilidad tanto del sistema vulnerable como del subsiguiente (VC/VI/VA:H y SC/SI/SA:H). En ambas el vector es de red (AV:N), sin privilegios (PR:N) ni interacción de usuario (UI:N). Se diferencian en que CVE-2026-88771 tiene baja complejidad (AC:L) y requiere ciertas condiciones de ataque (AT:P), mientras que CVE-2026-88772 tiene complejidad alta (AC:H) y no requiere condiciones adicionales (AT:N).

CISA ha añadido CVE-2026-88771 y CVE-2026-88772 al catálogo KEV y recibe informes que confirman su explotación activa a escala global, con fecha de incorporación 27 de septiembre de 2026 y plazo de remediación del 30 de septiembre para las agencias federales estadounidenses. Citrix confirma que ha observado explotación de ambas en despliegues no mitigados al investigar incidentes en entornos de clientes.

Análisis

CVE-2026-88771 (CWE-20, validación de entrada incorrecta) permite a un atacante remoto no autenticado ejecutar comandos arbitrarios en el appliance. Afecta a todos los despliegues de las versiones vulnerables, incluida la configuración por defecto, sin que sea necesaria ninguna función adicional. No hay, por tanto, una condición de configuración que permita descartar la exposición.

CVE-2026-88772 (CWE-119, desbordamiento de memoria) puede derivar en ejecución remota de código o denegación de servicio. Requiere DTLS habilitado, y DTLS está activo por defecto en los servidores virtuales VPN salvo que se haya deshabilitado explícitamente con -dtls OFF; también están afectados los servidores virtuales de tipo DTLS. En la práctica, la mayoría de los NetScaler Gateway con VPN son vulnerables. Los equipos ya parcheados frente a CVE-2026-19490 (agregada a KEV el 9 de septiembre) siguen siendo vulnerables a estas dos si no ejecutan una de las compilaciones corregidas; en concreto, las compilaciones 14.1-73.32 y 13.1-63.21 corrigen aquella vulnerabilidad pero caen dentro del rango afectado ahora.

El riesgo es elevado por el papel de estos equipos: terminan conexiones VPN y HTTP/S en el perímetro, gestionan la autenticación y suelen tener visibilidad sobre la red interna. Un compromiso permitiría acceder a credenciales de usuarios y a sesiones, interceptar o manipular tráfico y utilizar el appliance como punto de entrada para movimiento lateral. Además, la explotación de CVE-2026-88771 no depende de ninguna configuración, por lo que toda instancia expuesta y sin parchear debe considerarse en riesgo.

Para mitigar, se recomienda actualizar inmediatamente a las compilaciones corregidas indicadas por el fabricante. Como defensa en profundidad, LAB52 recomienda limitar la exposición a Internet de las interfaces de gestión y de los servidores virtuales que no sean estrictamente necesarios, ejecutar la detección de IoC disponible en NetScaler Console y el procedimiento del fabricante para appliances con sospecha de compromiso, revisar registros de acceso y de sistema en busca de actividad anómala previa a la aplicación del parche, y tratar como potencialmente comprometidas las instancias expuestas antes de actualizar. Dado que la actualización puede requerir ventana de mantenimiento, se recomienda priorizar los equipos expuestos a Internet.

Versiones afectadas

Consultar el advisory del fabricante para conocer el detalle de las versiones vulnerables.

• NetScaler ADC y NetScaler Gateway 14.1 anteriores a 14.1-73.37.
• NetScaler ADC y NetScaler Gateway 13.1 anteriores a 13.1-64.23.
• NetScaler ADC FIPS anteriores a 14.1-73.37 FIPS.
• NetScaler ADC FIPS y NDcPP anteriores a 13.1-37.279.
• Los despliegues Secure Private Access Hybrid que usan instancias NetScaler también están afectados.
• El boletín aplica solo a instancias gestionadas por el cliente; Cloud Software Group actualiza los servicios en la nube y Adaptive Authentication que gestiona.

Versiones corregidas: 14.1-73.37 y posteriores; 13.1-64.23 y posteriores de la rama 13.1; 14.1-73.37 FIPS y posteriores; 13.1-37.279 y posteriores de 13.1-FIPS y 13.1-NDcPP.

Recomendaciones

1. Actualizar con carácter urgente NetScaler ADC y NetScaler Gateway a las compilaciones corregidas de CTX697096, empezando por los equipos expuestos a Internet.
2. Consultar el advisory del fabricante (CTX697096) y las alertas de CISA para verificar versiones, condiciones previas de cada CVE y plazos de remediación.
3. Revisar el inventario de activos para identificar todos los NetScaler ADC/Gateway, incluidas las instancias que forman parte de despliegues Secure Private Access Hybrid, y comprobar qué precondiciones de configuración cumple cada una.
4. Ejecutar la detección de IoC en NetScaler Console y monitorizar registros y eventos de red en busca de actividad anómala en los servidores virtuales VPN/DTLS y de autenticación, así como comandos inesperados en el appliance.
5. Dada la explotación activa confirmada de CVE-2026-88771 y CVE-2026-88772 antes de existir parche, tratar como posibles casos de respuesta a incidentes las instancias expuestas antes de actualizar, siguiendo los pasos del fabricante para appliances con sospecha de compromiso.

Workarounds

No existen workarounds completos para estas vulnerabilidades.

Referencias

• https://support.citrix.com/external/article/CTX697096/citrix-netscaler-adc-and-citrix-netscale.html
• https://www.cisa.gov/news-events/alerts/2026/09/27/cisa-adds-two-known-exploited-vulnerabilities-catalog
• https://watchtowr.com/intelligence/citrix-netscaler-zero-day-vulnerabilities-faq/
• https://docs.netscaler.com/en-us/netscaler-console-service/instance-advisory/ioc.html
• https://nvd.nist.gov/vuln/detail/CVE-2026-88772
• CWE-20: Improper Input Validation
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer
• CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')
• CWE-16: Configuration
• CWE-342: Predictable Exact Value from Previous Values