NetScaler sufre dos ataques críticos: actualizar no cierra la investigación

2 de octubre de 2026 a las 08:00|Autor: Equipo editorial de QUASA|5 lectura mínima| 4

El 28 de septiembre de 2026, el CCN-CERT publicó una alerta crítica por la explotación activa de dos vulnerabilidades en NetScaler ADC y NetScaler Gateway: CVE-2026-88771 y CVE-2026-88772. Para las instalaciones gestionadas por sus clientes ya existen versiones corregidas, pero la actualización no permite saber si alguien accedió al sistema mientras era vulnerable. El organismo español aconseja comprobar la exposición de inmediato y preservar las evidencias cuando se sospeche un compromiso.

El aviso de CERT-EU del 27 de septiembre distingue la exposición de CVE-2026-88771, que afecta a todas las configuraciones de las versiones vulnerables, de la de CVE-2026-88772, que requiere DTLS habilitado; ambos fallos tienen una puntuación CVSS 4.0 de 9,5. Para NetScaler ADC y Gateway, las primeras compilaciones corregidas de las ramas ordinarias son 14.1-73.37 y 13.1-64.23. CERT-EU recomienda evaluar posibles compromisos en los equipos vulnerables que estuvieron expuestos a Internet, además de actualizarlos.

Qué cambia entre los dos fallos

CVE-2026-88771 permite ejecutar comandos de forma remota sin autenticación debido a una validación incorrecta de entradas. Una instancia con una compilación afectada cumple la condición técnica incluso si conserva la configuración predeterminada: no necesita tener activada una función adicional. Por eso, encontrar DTLS deshabilitado no permite descartar este fallo; la versión instalada sigue siendo la primera comprobación.

CVE-2026-88772 es un desbordamiento de memoria que puede desembocar en ejecución remota de código o denegación de servicio. Aquí sí importa DTLS: está habilitado de forma predeterminada en los servidores virtuales VPN, salvo que se haya desactivado expresamente. Otros servidores virtuales también cumplen la condición si están configurados como DTLS. La misma instancia puede estar expuesta a ambos fallos, solo al primero o a ninguno de los dos, según su compilación y la configuración de sus servidores virtuales.

La distinción importa al revisar una instalación con varios servicios. Un inventario que solo registre el nombre del producto no muestra qué compilación ejecuta cada instancia ni cómo están configurados sus servidores virtuales. Del mismo modo, comprobar únicamente los servidores VPN deja fuera otros servidores virtuales de tipo DTLS y no resuelve la exposición al fallo que no depende de ese protocolo.

Compilaciones corregidas según la rama

El boletín CTX697096 de Citrix fija las compilaciones corregidas por producto y advierte: «Exploits of CVE-2026-88771 and CVE-2026-88772 on unmitigated NetScaler deployments have been observed». La correspondencia para las versiones compatibles es la siguiente:

NetScaler ADC y NetScaler Gateway 14.1: las compilaciones anteriores a 14.1-73.37 están afectadas; la corrección comienza en 14.1-73.37.
NetScaler ADC y NetScaler Gateway 13.1: las compilaciones anteriores a 13.1-64.23 están afectadas; la corrección comienza en 13.1-64.23.
NetScaler ADC 14.1-FIPS: la compilación corregida es 14.1-73.37 FIPS o una posterior de esa rama.
NetScaler ADC 13.1-FIPS y 13.1-NDcPP: la compilación corregida figura como 13.1-37.279 en la relación de versiones afectadas. La relación de actualizaciones del mismo boletín escribe ese número como 13.1.37.279, por lo que conviene cotejar el paquete con la rama FIPS o NDcPP correspondiente.

Estos cortes de versión se refieren a NetScaler ADC y Gateway gestionados por el cliente. También deben actualizarse las instancias de NetScaler utilizadas en despliegues híbridos de Secure Private Access. Los servicios en la nube gestionados por Citrix y Adaptive Authentication gestionado por Citrix reciben las actualizaciones del proveedor; esa distinción evita incluirlos por error en el inventario de dispositivos que debe actualizar el cliente.

La matriz de versiones responde a qué compilación instalar, mientras que la configuración delimita la exposición al segundo fallo antes de hacerlo. En un servidor virtual VPN, la ausencia de una desactivación expresa de DTLS mantiene la condición de CVE-2026-88772. Si DTLS está desactivado, esa condición deja de cumplirse, pero una compilación vulnerable continúa expuesta a CVE-2026-88771.

Por qué el parche no termina la investigación

Instalar una compilación corregida elimina estos fallos del software actualizado; no reconstruye la actividad anterior. La explotación observada hace especialmente relevante el periodo durante el cual una instancia vulnerable estuvo accesible desde Internet. La evaluación de compromiso debe abarcar ese intervalo y la función que cumplía el equipo, tanto si prestaba acceso VPN como si publicaba otros servicios.

Los registros del dispositivo, las copias remitidas a sistemas externos y los indicios disponibles en NetScaler Console pueden ayudar a establecer qué ocurrió. Si aparecen señales de intrusión, conservar esas evidencias antes de cambios que puedan alterarlas permite investigar con más precisión. El CCN-CERT incluye entre las medidas de respuesta el aislamiento del sistema afectado y el análisis de la posible exposición de credenciales, sesiones y sistemas internos.

Una versión corregida y una evaluación sin hallazgos responden a preguntas diferentes. La primera acredita el estado actual del software; la segunda depende de qué actividad quedó registrada durante el periodo vulnerable y de la cobertura de esas evidencias. Si faltan registros de parte del intervalo, esa limitación debe quedar reflejada en el alcance de la investigación.

Orden de respuesta para una instalación afectada

Identificar las instancias de NetScaler ADC y Gateway gestionadas por la organización, incluidas las utilizadas en Secure Private Access Hybrid. Registrar la rama y la compilación de cada una y compararlas con la corrección correspondiente.
Determinar qué instancias vulnerables estuvieron accesibles desde Internet. Revisar DTLS en los servidores virtuales VPN y en los demás servidores virtuales para delimitar CVE-2026-88772, sin descartar CVE-2026-88771 por ese ajuste.
Ante indicios de compromiso, preservar los registros y activar la respuesta a incidentes. Valorar el aislamiento de la instancia y el alcance de cualquier acceso a credenciales, sesiones o sistemas internos.
Actualizar a la compilación corregida de la rama correspondiente y comprobar la versión instalada. Mantener abierta la evaluación del periodo vulnerable hasta documentar qué evidencias permiten establecer el alcance de la actividad anterior.

En una instancia que dio acceso a servicios internos, la consecuencia más importante puede quedar fuera del propio NetScaler: las sesiones o credenciales utilizadas durante el periodo vulnerable pueden requerir medidas de respuesta aunque el dispositivo ya ejecute una compilación corregida.