Qué pasó
El 27 de septiembre de 2026, Citrix publicó el boletín CTX697096 con ocho vulnerabilidades en NetScaler ADC y NetScaler Gateway (CVE-2026-88771 a CVE-2026-88778). Dos de ellas, CVE-2026-88771 y CVE-2026-88772, ya se explotaban como zero-days, y CISA las añadió al catálogo KEV el mismo día. Según CISA, ambas son críticas y cada una por separado permite ejecución remota de código, con explotación confirmada "a nivel global".
Detalles técnicos reportados
Según Threadlinqs, que cita a Google Threat Intelligence Group y Mandiant:
- CVE-2026-88772: desbordamiento de heap previo a la autenticación en el manejo de DTLS de NSPPE (UDP/443), con ejecución de código como root.
- CVE-2026-88771: validación de entrada incorrecta (CWE-20) en un script de procesamiento de logs que concatena nombres de los logs en comandos de shell.
- Tras la intrusión: persistencia mediante configuración de Apache, el web shell WHIPSHOT y el túnel SLAPSHOT.
- La explotación data al menos de principios de septiembre (GovInfoSecurity habla de actividad desde agosto).
Ambas puntúan 9,5 en CVSS 4.0.
Versiones corregidas
Actualice a 14.1-73.37 o superior, o 13.1-64.23 o superior. Atención: en octubre aparecieron nuevos fallos (CVE-2026-88779 y CVE-2026-107406) que exigen versiones aún más recientes; los tratamos en otro artículo.
Qué hacer ahora
- Inventaríe todo NetScaler expuesto a internet y confirme su versión.
- Como la explotación es anterior al parche, busque señales de compromiso incluso tras actualizar.
- Siga la guía de Citrix y trate cualquier indicio como incidente.