ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Citrix

Alerta 2026-136 Falla crítica en Citrix NetScaler ADC y Gateway permite contrabando de solicitudes HTTP

Producto(s) afectado(s): 

ProductoVersiones afectadasVersión corregida
NetScaler ADC y NetScaler Gateway 14.1Anteriores a 14.1-73.3714.1-73.37
NetScaler ADC y NetScaler Gateway 13.1Anteriores a 13.1-64.2313.1-64.23
NetScaler ADC 14.1-FIPSAnteriores a 14.1-73.37 FIPS14.1-73.37 FIPS
NetScaler ADC 13.1-FIPS y 13.1-NDcPPAnteriores a 13.1-37.27913.1-37.279

Solo afecta a despliegues administrados por el cliente, incluidas las instancias NetScaler de Secure Private Access Hybrid.

Descripción

Se ha publicado una vulnerabilidad de severidad crítica (CVSSv4 9.3 – CRÍTICO) en Citrix NetScaler ADC y NetScaler Gateway que permite a un atacante remoto sin autenticación realizar contrabando de solicitudes HTTP (HTTP request smuggling). La vulnerabilidad ha sido etiquetada como CVE-2026-88773 y es del tipo interpretación inconsistente de solicitudes HTTP (CWE-444).

Están expuestos los equipos que tienen servidores virtuales de balanceo de carga (LB), conmutación de contenido (CS), VPN (Gateway) o autenticación (AAA) de tipo HTTP o SSL. La interfaz de gestión no está afectada. El proveedor no publicó detalles técnicos; según su vector CVSS, el impacto recae en la integridad de las solicitudes que procesa el equipo y en la confidencialidad e integridad de los sistemas que están detrás de él. La vulnerabilidad no permite ejecutar código en el equipo.

CVE-2026-88773 forma parte del boletín CTX697096 del 27/09/2026, el mismo que corrigió CVE-2026-88771 y CVE-2026-88772, explotadas activamente y tratadas en la Alerta 2026-110. Las versiones corregidas son las mismas, por lo que los equipos ya actualizados por esas vulnerabilidades también están protegidos frente a esta.

Investigadores publicaron un análisis técnico detallado el 02/10/2026 y, el 31/10/2026 a las 22:58 (PYT), una prueba de concepto funcional. No se conoce explotación activa y CVE-2026-88773 no figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la agencia de ciberseguridad de EE. UU. Del mismo boletín, CVE-2026-88771 y CVE-2026-88772 figuran en el KEV desde el 27/09/2026, al igual que CVE-2026-88779, otra vulnerabilidad de NetScaler, desde el 04/10/2026.

Mitigación

No existe una mitigación temporal; la única solución es actualizar.

Detección

Para identificar los equipos afectados se recomienda:

  • Buscar en ns.conf servidores virtuales HTTP o SSL: add lb vserver <nombre> <HTTP|SSL>, add cs vserver <nombre> <HTTP|SSL>, add vpn vserver <nombre> <HTTP|SSL> o add authentication vserver <nombre> <HTTP|SSL>.
  • Usar NetScaler Console (Security Advisory > CVE Detection), que incluye CVE-2026-88773. Console no evalúa versiones sin soporte y puede marcar por error la 13.1-64.23 como vulnerable hasta su siguiente actualización del Security Advisory.

Solución

La solución consiste en actualizar a la versión corregida de cada rama o a una posterior:

  • NetScaler ADC y Gateway 14.1: 14.1-73.37.
  • NetScaler ADC y Gateway 13.1: 13.1-64.23. Si durante la actualización se producen reinicios cíclicos, se recomienda la 13.1-64.24.
  • NetScaler ADC 14.1-FIPS: 14.1-73.37 FIPS.
  • NetScaler ADC 13.1-FIPS y 13.1-NDcPP: 13.1-37.279.

Las versiones publicadas el 27/10/2026 para PHP2Shell (Alerta 2026-117), 14.1-73.49, 13.1-64.32, 14.1-73.49 FIPS y 13.1-37.286 FIPS/NDcPP, son posteriores a las corregidas y por lo tanto también cubren esta vulnerabilidad.

Las versiones 12.1 y 13.0 no reciben parches, por lo que se recomienda migrar a una versión con soporte.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://support.citrix.com/external/article/CTX697096/citrix-netscaler-adc-and-citrix-netscale.html

Información adicional: