Alerta CRÍTICA: Se ha publicado la vulnerabilidad CVE-2026-107406, que afecta a NetScaler ADC y NetScaler Gateway. Esta falla de desbordamiento de memoria puede permitir la ejecución remota de código o una denegación de servicio. La puntuación CVSS es de 9.5 (CRÍTICA) y la explotación es posible de forma remota sin credenciales previas, aunque requiere que el dispositivo esté configurado como SAML SP o SAML IdP.
Resumen ejecutivo
| CVE | CVE-2026-107406 |
|---|---|
| Fabricante | NetScaler |
| Producto | ADC y Gateway |
| Fecha de publicación | 2026-10-08 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.5 (CVSS:4.0) |
| Vector CVSS | CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:L |
| Prioridad RyzerBot | 242 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-107406 es una vulnerabilidad de desbordamiento de memoria (memory overflow) en NetScaler ADC y NetScaler Gateway que, según la descripción publicada por NVD y CVE.org, puede derivar en ejecución remota de código o en una denegación de servicio.
La causa raíz se encuentra en un manejo incorrecto de la memoria durante el procesamiento de ciertas peticiones relacionadas con el protocolo SAML. El fallo se desencadena cuando el dispositivo está configurado como SAML Service Provider (SP) o como SAML Identity Provider (IdP), dependiendo de la versión concreta del firmware.
Desde el punto de vista del vector CVSS, la vulnerabilidad es explotable de forma remota (AV:N), no requiere interacción del usuario (UI:N) ni privilegios previos (PR:N). Aunque la complejidad de ataque se considera alta (AC:H), el impacto sobre la confidencialidad, integridad y disponibilidad es alto (VC:H, VI:H, VA:H), lo que justifica la calificación de criticidad máxima.
Es importante señalar que el fabricante NetScaler (anteriormente Citrix) ha publicado un aviso oficial con el identificador CTX697191, que debe consultarse para obtener detalles técnicos adicionales y las actualizaciones correspondientes.
La vulnerabilidad afecta tanto a las versiones estándar como a las variantes FIPS de los productos, así como a la versión NDcPP de la rama 13.1. Esto amplía la superficie de exposición en entornos gubernamentales y corporativos que utilizan estas variantes endurecidas.
Dado que el producto actúa como puerta de enlace de autenticación en muchos despliegues, una explotación exitosa podría comprometer la infraestructura de acceso remoto y los flujos de autenticación federada, con consecuencias graves para la seguridad de la organización.
No se han publicado datos sobre la existencia de exploits públicos, indicadores de compromiso (IOC) o ataques activos en la naturaleza. Sin embargo, la criticidad de la vulnerabilidad y el historial de ataques dirigidos contra productos de este fabricante en el pasado recomiendan una actuación inmediata.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, la vulnerabilidad afecta a NetScaler ADC y NetScaler Gateway en las siguientes versiones, con requisitos específicos según la configuración del producto:
Configuración como SAML IdP (solo aplicable a estas versiones)
| Producto | Versiones afectadas |
|---|---|
| NetScaler ADC y NetScaler Gateway | Entre 14.1-73.37 y 14.1-73.41, inclusive |
| NetScaler ADC 14.1-FIPS | Entre 14.1-73.37 FIPS y 14.1-73.41 FIPS, inclusive |
| NetScaler ADC y NetScaler Gateway | Entre 13.1-64.23 y 13.1-64.28, inclusive |
| NetScaler ADC 13.1-FIPS | Entre 13.1-NDcPP 13.1-37.279 y 13.1-37.282, inclusive |
Configuración como SAML SP o SAML IdP (aplicable a estas versiones)
| Producto | Versiones afectadas |
|---|---|
| NetScaler ADC y NetScaler Gateway | Anteriores a 14.1-73.37 |
| NetScaler ADC 14.1-FIPS | Anteriores a 14.1-73.37 FIPS |
| NetScaler ADC y NetScaler Gateway | Anteriores a 13.1-64.23 |
| NetScaler ADC 13.1-FIPS | Anteriores a 13.1-NDcPP 13.1-37.279 |
Según los datos de CVE.org, las versiones corregidas son 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS y 13.1.37.283 FIPS. No se han publicado versiones adicionales afectadas en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v4.0 de 9.5, corresponde a un desbordamiento de memoria que puede derivar en ejecución remota de código o denegación de servicio en dispositivos NetScaler ADC y NetScaler Gateway.
El vector CVSS asociado es el siguiente:
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Las características principales del impacto son:
- Confidencialidad, integridad y disponibilidad altas en el sistema vulnerable (VC:H, VI:H, VA:H).
- Impacto alto en confidencialidad, integridad y disponibilidad en sistemas adyacentes (SC:H, SI:H, SA:L).
- No se requiere interacción del usuario (UI:N) ni privilegios previos (PR:N).
- Acceso por red (AV:N), aunque con complejidad de ataque alta (AC:H).
Dado que el producto afectado es un controlador de entrega de aplicaciones (ADC) y una puerta de enlace (Gateway), el compromiso de estos sistemas podría permitir a un atacante interceptar, modificar o redirigir el tráfico de autenticación SAML, así como provocar la indisponibilidad de los servicios publicados a través de la infraestructura.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa de esta vulnerabilidad en el momento de la publicación del aviso. No se han incluido referencias a exploits públicos, kits de explotación o campañas maliciosas que aprovechen esta CVE.
La ausencia de esta información no debe interpretarse como una garantía de seguridad; la criticidad de la vulnerabilidad y el historial de productos NetScaler en campañas de explotación masiva recomiendan aplicar las actualizaciones disponibles con carácter prioritario.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc se encuentra vacío, por lo que no se publican IOC en este aviso.
Se recomienda a los administradores revisar los registros de autenticación SAML, los logs del sistema y los eventos de memoria en los dispositivos afectados, prestando especial atención a comportamientos anómalos que puedan indicar un intento de explotación.
Cómo comprobar si estás afectado
Para determinar si tu infraestructura es vulnerable a CVE-2026-107406, debes verificar dos aspectos fundamentales: la versión exacta del firmware instalado y la configuración del servicio SAML. Esta vulnerabilidad no afecta a todas las implementaciones por igual, por lo que una revisión precisa es esencial antes de planificar cualquier acción.
1. Identifica la versión de NetScaler ADC o Gateway
Accede a la interfaz de administración de tu appliance o utiliza los métodos de consulta estándar del sistema para obtener el número de build completo. Necesitarás el número de versión exacto, incluyendo el sufijo de build (por ejemplo, 14.1-73.37). Las versiones afectadas se agrupan en dos categorías según la configuración:
- Solo SAML IdP: Versiones entre
14.1-73.37y14.1-73.41(inclusive), versiones14.1-FIPSentre14.1-73.37 FIPSy14.1-73.41 FIPS, versiones entre13.1-64.23y13.1-64.28(inclusive), y versiones13.1-FIPSentre13.1-NDcPP 13.1-37.279y13.1-37.282(inclusive). - SAML SP o SAML IdP: Versiones anteriores a
14.1-73.37, versiones14.1-FIPSanteriores a14.1-73.37 FIPS, versiones anteriores a13.1-64.23y versiones13.1-FIPSanteriores a13.1-NDcPP 13.1-37.279.
2. Verifica la configuración SAML
La vulnerabilidad solo es explotable si el dispositivo está configurado como SAML Service Provider (SP) o SAML Identity Provider (IdP). Revisa la configuración de tu appliance para confirmar si alguno de estos roles está activo. Si no utilizas SAML en absoluto, el riesgo de explotación es significativamente menor, aunque la actualización sigue siendo recomendable.
3. Consulta el aviso oficial del fabricante
El fabricante ha publicado un aviso técnico con identificador CTX697191 que contiene la información más actualizada sobre el alcance y las acciones recomendadas. Accede a él a través del enlace oficial incluido en la sección de fuentes de este artículo.
Nota importante: La información sobre versiones corregidas y parches específicos no ha sido publicada en las fuentes consultadas en el momento de redactar este análisis. Consulta el aviso del fabricante para obtener los detalles de actualización más recientes.
Mitigación y actualización
Dado que la vulnerabilidad permite ejecución remota de código o denegación de servicio con una puntuación CVSS de 9.5 (CRÍTICA), la prioridad debe ser máxima. Las acciones recomendadas son las siguientes:
Acciones inmediatas
- Revisa el aviso oficial del fabricante (CTX697191) para obtener instrucciones detalladas y la lista de versiones corregidas.
- Aplica la actualización publicada por el fabricante en cuanto esté disponible para tu versión y modelo. No se han publicado versiones corregidas específicas en las fuentes consultadas, por lo que debes verificar el aviso oficial para conocerlas.
- Si no puedes actualizar de inmediato, evalúa si es posible deshabilitar temporalmente la funcionalidad SAML SP o IdP en los dispositivos afectados, siempre que ello no interrumpa servicios críticos.
Consideraciones adicionales
La vulnerabilidad es explotable de forma remota sin necesidad de autenticación previa (según el vector CVSS: AV:N/AC:H/AT:N/PR:N/UI:N), lo que significa que un atacante podría aprovecharla desde la red sin credenciales. Aunque la complejidad de ataque se considera alta, el impacto potencial en confidencialidad, integridad y disponibilidad es total, incluyendo el compromiso de sistemas adyacentes.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que no es posible ofrecer una lista de señales de detección específicas. Mantén una monitorización reforzada de los dispositivos afectados mientras se aplican las actualizaciones.
Checklist para administradores
- ☐ Identificar todos los NetScaler ADC y Gateway en la infraestructura y registrar sus versiones exactas.
- ☐ Verificar si los dispositivos están configurados como SAML SP o SAML IdP.
- ☐ Comparar las versiones instaladas con los rangos afectados indicados en la descripción de la CVE.
- ☐ Consultar el aviso oficial CTX697191 del fabricante para obtener información actualizada.
- ☐ Planificar la aplicación de la actualización publicada por el fabricante en una ventana de mantenimiento adecuada.
- ☐ Si la actualización no es posible de inmediato, evaluar la desactivación temporal de SAML SP/IdP como medida compensatoria.
- ☐ Reforzar la monitorización de los dispositivos afectados ante posibles intentos de explotación.
- ☐ Documentar todas las acciones realizadas y las decisiones tomadas para futuras auditorías.
Preguntas frecuentes
¿Qué es CVE-2026-107406?
Es una vulnerabilidad crítica de desbordamiento de memoria en NetScaler ADC y NetScaler Gateway que puede permitir ejecución remota de código o denegación de servicio. Tiene una puntuación CVSS de 9.5 y se considera de severidad CRÍTICA.
¿Qué productos están afectados?
Los productos afectados son NetScaler ADC y NetScaler Gateway en las versiones indicadas en la descripción de la vulnerabilidad. La afectación depende de la versión y de si el dispositivo está configurado como SAML SP o SAML IdP.
¿Cómo puedo saber si mi versión es vulnerable?
Debes comparar tu versión exacta con los rangos especificados en la descripción de la CVE. Si tu versión está dentro de los rangos indicados y el dispositivo está configurado como SAML SP o IdP, se considera afectado.
¿Existe algún parche disponible?
Las fuentes consultadas no publican versiones corregidas específicas. Debes consultar el aviso oficial del fabricante (CTX697191) para obtener la información más actualizada sobre parches y versiones corregidas.
¿Qué debo hacer si no puedo actualizar de inmediato?
Como medida temporal, evalúa la posibilidad de deshabilitar la funcionalidad SAML SP o IdP en los dispositivos afectados. Refuerza la monitorización y limita el acceso a los dispositivos desde redes no confiables mientras se planifica la actualización.
¿Esta vulnerabilidad está siendo explotada activamente?
Las fuentes consultadas no indican si la vulnerabilidad está siendo explotada activamente. No se han publicado IOC estructurados. Se recomienda aplicar las actualizaciones con la máxima prioridad dada la criticidad de la vulnerabilidad.
Fuentes oficiales
- NVD – Detalle de CVE-2026-107406 (fuente primaria)
- Aviso oficial del fabricante – CTX697191
Este análisis se ha elaborado a partir de la información publicada por NVD y CVE.org. La situación puede evolucionar rápidamente; consulta periódicamente las fuentes oficiales para obtener actualizaciones.