Alerta de Seguridad: Citrix NetScaler - RCE y denegación de servicio

// resumen_ejecutivo

CVE-2026-88772 (CVSS 9.5): falla crítica de memoria en NetScaler permite RCE o DoS. CISA confirma explotación activa; plazo FCEB: 30-09-2026.

// descripcion_detallada

CISA agregó CVE-2026-88772 al catálogo KEV por explotación activa contra Citrix NetScaler ADC y Gateway. La vulnerabilidad CWE-119 permite que entradas remotas provoquen operaciones fuera de los límites válidos de memoria, con posibilidad de ejecución remota de código o denegación de servicio.

El registro CVE asigna CVSS 4.0 9.5 (crítica) y el vector CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. No requiere privilegios ni interacción del usuario. La explotación en un dispositivo perimetral puede comprometer configuraciones, secretos, certificados y sistemas conectados. El uso en ransomware figura como desconocido.

Versiones afectadas: ADC/Gateway anteriores a 14.1-73.37 y 13.1-64.23; ADC 14.1 FIPS anterior a 14.1-73.37 FIPS; ADC 13.1 FIPS/NDcPP anterior a 13.1.37.279. Fecha límite FCEB: 30 de septiembre de 2026.

// vectores_de_ataque

Red; remoto; sin privilegios; sin interacción del usuario; corrupción de memoria (CWE-119); RCE o DoS; complejidad de ataque alta según CVSS 4.0.

// versiones_afectadas

NetScaler ADC/Gateway <14.1-73.37; ADC/Gateway <13.1-64.23; ADC 14.1 FIPS <14.1-73.37 FIPS; ADC 13.1 FIPS y NDcPP <13.1.37.279.

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-88772

// recomendaciones_de_mitigacion

Actualizar inmediatamente a 14.1-73.37, 13.1-64.23, 14.1-73.37 FIPS o 13.1.37.279 FIPS/NDcPP, según la rama, o a una versión posterior indicada por Citrix.
Identificar primero appliances expuestos a Internet y verificar el número completo de build.
Ejecutar los IOC entregados por Citrix en NetScaler Console y cumplir el triaje forense de BOD 26-04.
Si se sospecha compromiso, preservar snapshots, logs, hora/NTP y paquetes de soporte; luego aislar el dispositivo.
Revocar o rotar cuentas de servicio, secretos RADIUS, tokens OAuth, API keys, SNMP, certificados y claves privadas accesibles desde el appliance.
Investigar servidores conectados y discontinuar el uso si no existe mitigación disponible.