CVE-2026-88772: Vulnerabilidad crítica en Citrix NetScaler ADC

Qué es la vulnerabilidad

CVE-2026-88772 es una vulnerabilidad de seguridad identificada en los productos Citrix NetScaler ADC y Citrix NetScaler Gateway. Según la descripción publicada por el fabricante y confirmada por NVD, el fallo afecta a las versiones anteriores a los siguientes parches:

• ADC: versiones anteriores a 14.1-73.37, 13.1-64.23, 14.1-73.37 FIPS y 13.1.37.279 FIPS y NDcPP.
• Gateway: versiones anteriores a 14.1-73.37 y 13.1-64.23.

La vulnerabilidad está clasificada bajo la categoría CWE-119, que corresponde a debilidades relacionadas con la gestión incorrecta de límites en operaciones de memoria. Esta categoría engloba fallos clásicos como desbordamientos de búfer, escrituras fuera de los límites o lecturas fuera de los límites, que pueden ser explotados para corromper la memoria del proceso vulnerable.

El vector CVSS asociado es CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H, lo que indica que:

• Vector de ataque (AV): Red (N) — explotable de forma remota.
• Complejidad de ataque (AC): Alta (H) — se requieren condiciones específicas o conocimiento previo para lograr la explotación.
• Privilegios requeridos (PR): Ninguno (N) — no se necesita autenticación.
• Interacción del usuario (UI): Ninguna (N) — no se requiere interacción de un usuario.
• Impacto en confidencialidad, integridad y disponibilidad (VC, VI, VA): Alto (H) en los tres ejes.
• Impacto en seguridad (SC, SI, SA): Alto (H) — compromiso total del sistema.

La combinación de estos factores —explotación remota sin autenticación y con impacto total en la confidencialidad, integridad y disponibilidad— es lo que eleva la puntuación a 9.5 y justifica su clasificación como CRITICAL. Un atacante que logre explotar esta vulnerabilidad podría ejecutar código arbitrario en el dispositivo afectado o provocar una denegación de servicio, comprometiendo la disponibilidad de los servicios que dependen de la infraestructura NetScaler.

Es importante señalar que la vulnerabilidad fue publicada el 27 de septiembre de 2026 y ya ha sido incluida en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, lo que sugiere que existe un interés activo por parte de actores maliciosos. La referencia a CISA en las fuentes oficiales refuerza la necesidad de actuar con rapidez.

Dado que NetScaler ADC y Gateway son componentes críticos en muchas infraestructuras empresariales —actuando como controladores de entrega de aplicaciones, equilibradores de carga y pasarelas de acceso remoto—, el impacto potencial de esta vulnerabilidad es significativo. Un compromiso de estos dispositivos podría permitir a un atacante moverse lateralmente dentro de la red, interceptar tráfico sensible o interrumpir servicios esenciales.

En las siguientes secciones de este artículo se detallan los productos afectados, el impacto potencial, las opciones de mitigación y los pasos recomendados para verificar y proteger los sistemas.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-88772 afecta a dos líneas de productos de Citrix: NetScaler ADC (Application Delivery Controller) y NetScaler Gateway. Según los datos publicados por NVD y CVE.org, las versiones afectadas son las siguientes:

La información publicada no detalla rangos de versiones adicionales más allá de los límites indicados en el aviso del fabricante. Se recomienda consultar el boletín oficial de Citrix (CTX697096) para confirmar si existen builds afectadas adicionales o requisitos de actualización específicos para despliegues concretos.

Impacto y riesgo

La vulnerabilidad ha sido clasificada con una severidad CRÍTICA y una puntuación CVSS de 9.5 según el vector CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Esto implica que un atacante remoto no autenticado podría explotar la falla sin interacción del usuario, aunque se requiere cierta complejidad en el ataque (AC:H).

El impacto técnico se manifiesta en dos frentes principales:

• Ejecución remota de código (RCE): Un atacante podría ejecutar comandos arbitrarios en el sistema subyacente del dispositivo NetScaler, comprometiendo por completo la confidencialidad, integridad y disponibilidad del appliance.
• Denegación de servicio (DoS): La explotación podría provocar el agotamiento de recursos o el bloqueo del servicio, afectando la disponibilidad de las aplicaciones publicadas a través del ADC o Gateway.

Dado que NetScaler ADC y Gateway se despliegan típicamente en el perímetro de la red para publicar servicios críticos (VPN, aplicaciones web, balanceo de carga), una explotación exitosa podría permitir el movimiento lateral hacia la infraestructura interna. El vector de red (AV:N) y la ausencia de requisitos de autenticación (PR:N) elevan significativamente el riesgo operativo, especialmente en entornos donde estos dispositivos están expuestos a Internet.

La puntuación de prioridad asignada por el recolector es de 202, lo que refleja una alta urgencia de remediación. No se ha publicado información sobre ataques activos en las fuentes consultadas, pero la criticidad del vector y la naturaleza del producto justifican una actuación inmediata.

Estado de explotación conocida

Las fuentes consultadas (NVD, CVE.org y el aviso de Citrix) no confirman explícitamente que esta vulnerabilidad esté siendo explotada activamente en el momento de la publicación. La referencia a la CISA Known Exploited Vulnerabilities Catalog incluida en el contexto no debe interpretarse como una confirmación de explotación activa, ya que el propio contexto no indica que el CVE haya sido añadido a dicho catálogo.

No obstante, la ausencia de confirmación pública de explotación no reduce la criticidad de la vulnerabilidad. La combinación de vector de red, falta de autenticación y el historial de vulnerabilidades similares en productos Citrix NetScaler (que han sido objetivo frecuente de actores maliciosos en el pasado) hace recomendable tratar esta CVE como de alto riesgo y priorizar su parcheo.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. Los campos de IOC en el contexto de enriquecimiento aparecen vacíos y no se dispone de listas de direcciones IP, dominios, hashes de archivos o rutas de persistencia asociadas a esta vulnerabilidad.

Se recomienda a los administradores que, además de aplicar los parches correspondientes, revisen los registros de autenticación y de acceso de los dispositivos NetScaler afectados en busca de actividad anómala, especialmente intentos de autenticación fallidos, accesos desde direcciones IP no habituales o modificaciones en la configuración del sistema. No obstante, al no publicarse IOC específicos, cualquier búsqueda debe basarse en el comportamiento anómalo general y en las recomendaciones del fabricante.

Cómo comprobar si estás afectado

Para determinar si tu infraestructura es vulnerable a CVE-2026-88772, debes verificar la versión exacta del firmware instalada en tus dispositivos Citrix NetScaler ADC y Citrix NetScaler Gateway. La vulnerabilidad afecta a las siguientes versiones:

Para comprobar la versión instalada, accede a la interfaz de administración de tu dispositivo NetScaler y consulta la sección de información del sistema o versión. También puedes revisar la documentación oficial de Citrix para obtener instrucciones específicas sobre cómo identificar la versión del firmware en tu modelo concreto.

Si tu versión se encuentra dentro de los rangos indicados, tu sistema es vulnerable y debe ser actualizado o mitigado de inmediato. Ten en cuenta que esta vulnerabilidad permite ejecución remota de código o denegación de servicio, por lo que la exposición es crítica.

Mitigación y actualización

La acción recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Citrix ha publicado un boletín de seguridad que cubre esta vulnerabilidad junto con otras relacionadas (CVE-2026-88771, CVE-2026-88773, CVE-2026-88774, CVE-2026-88775, CVE-2026-88776, CVE-2026-88777 y CVE-2026-88778).

El boletín oficial de Citrix está disponible en el siguiente enlace:

Citrix Security Bulletin CTX697096

Además, la vulnerabilidad ha sido incluida en el catálogo de vulnerabilidades explotadas conocidas de CISA, lo que indica que existe un interés activo por parte de actores maliciosos. Consulta la referencia correspondiente:

CISA Known Exploited Vulnerabilities Catalog – CVE-2026-88772

Mientras se aplica el parche, se recomienda restringir el acceso a los dispositivos afectados únicamente a redes de confianza y monitorizar los logs de acceso en busca de actividad sospechosa. No se han publicado mitigaciones alternativas específicas en las fuentes consultadas.

Checklist para administradores

• ☐ Identificar todos los dispositivos Citrix NetScaler ADC y Gateway en tu infraestructura.
• ☐ Verificar la versión de firmware de cada dispositivo y compararla con las versiones afectadas.
• ☐ Revisar el boletín oficial de Citrix (CTX697096) para obtener instrucciones detalladas.
• ☐ Planificar la aplicación del parche en una ventana de mantenimiento adecuada.
• ☐ Restringir el acceso a los dispositivos afectados solo a redes de confianza mientras se aplica la actualización.
• ☐ Monitorizar los logs de acceso y eventos de seguridad en busca de indicadores de compromiso.
• ☐ Documentar el estado de cada dispositivo antes y después de la actualización.
• ☐ Verificar la integridad del firmware después de la actualización.
• ☐ Revisar el catálogo de CISA para conocer el estado de explotación activa.
• ☐ Establecer un proceso de revisión periódica de boletines de seguridad de Citrix.

Preguntas frecuentes

¿Qué es CVE-2026-88772?

Es una vulnerabilidad crítica en Citrix NetScaler ADC y Citrix NetScaler Gateway que permite ejecución remota de código o denegación de servicio. Tiene una puntuación CVSS de 9.5 y severidad CRITICAL.

¿Qué productos están afectados?

Citrix NetScaler ADC y Citrix NetScaler Gateway en las versiones anteriores a 14.1-73.37 y 13.1-64.23, así como las versiones FIPS y NDcPP indicadas en el boletín oficial.

¿Cómo puedo saber si mi sistema es vulnerable?

Debes consultar la versión de firmware instalada en tu dispositivo y compararla con las versiones afectadas listadas en el boletín de seguridad de Citrix. Si tu versión es anterior a las indicadas, tu sistema es vulnerable.

¿Existe algún parche disponible?

Citrix ha publicado un boletín de seguridad (CTX697096) que cubre esta vulnerabilidad. Se recomienda consultar el boletín oficial para obtener información sobre las versiones corregidas y los procedimientos de actualización.

¿Esta vulnerabilidad está siendo explotada activamente?

La vulnerabilidad ha sido incluida en el catálogo de vulnerabilidades explotadas conocidas de CISA, lo que indica que existe un riesgo real de explotación. Se recomienda aplicar las actualizaciones con carácter urgente.

¿Qué debo hacer si no puedo actualizar inmediatamente?

Mientras se aplica el parche, restringe el acceso a los dispositivos afectados solo a redes de confianza, monitoriza los logs de acceso y revisa el boletín de Citrix para conocer posibles mitigaciones adicionales.