ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Citrix

Alerta 2026-163 Fallas críticas en Citrix NetScaler ADC, Gateway y Console

Producto(s) afectado(s): 

ProductoVersiones afectadasVersión corregida
NetScaler ADC y NetScaler Gateway 14.1Anteriores a 14.1-73.5714.1-73.57 y posteriores
NetScaler ADC y NetScaler Gateway 13.1Anteriores a 13.1-64.3913.1-64.39 y posteriores de 13.1
NetScaler ADC 14.1-FIPSAnteriores a 14.1-73.58 FIPS14.1-73.58 FIPS y posteriores de 14.1-FIPS
NetScaler ADC 13.1-FIPS y 13.1-NDcPPAnteriores a 13.1-37.29313.1-37.293 y posteriores de 13.1-FIPS y 13.1-NDcPP
NetScaler Console 14.1Anteriores a 14.1-74.3414.1-74.34 y posteriores

El aviso de ADC y Gateway (CTX697305) aplica a las instalaciones administradas por el cliente, incluidas las instancias NetScaler de Secure Private Access Hybrid. El fabricante actualiza por su cuenta los servicios en la nube que gestiona y Adaptive Authentication. NetScaler Console es un producto distinto, cubierto en el boletín CTX697320. Las ramas 12.1 y 13.0 no figuran en el aviso de hoy; ya no reciben parches y conviene migrar a una rama con soporte.

Descripción

Se han publicado veintiocho vulnerabilidades en Citrix NetScaler ADC y NetScaler Gateway, en el boletín CTX697305 del 12/11/2026, nueve de ellas de gravedad crítica según el fabricante. El titular es CVE-2026-120868, con CVSS 4.0 9.3, crítica, que afecta a todas las instalaciones, incluida la configuración por defecto: no hace falta ninguna función adicional. La más alta es CVE-2026-107412, con CVSS 4.0 9.5, crítica, en equipos configurados como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o servidor virtual AAA. El mismo día, en el boletín CTX697320, el fabricante publicó CVE-2026-120869 en NetScaler Console, con CVSS 4.0 9.3, crítica. Los puntajes que se indican son CVSS 4.0 del fabricante. El fabricante no afirma ejecución remota de código: describe comportamiento impredecible o erróneo, o una denegación de servicio.

CVECVSS 4.0Qué esPrecondición
CVE-2026-1074129.5, críticaVarios desbordamientos de memoria; comportamiento impredecible o DoSGateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o AAA
CVE-2026-1208689.3, críticaDesbordamiento en el procesamiento de paquetes; mismo impactoTodas las instalaciones de ADC y Gateway (configuración por defecto)
CVE-2026-1074079.3, críticaDesbordamiento en tráfico SMPPServidor virtual LB o CS de tipo SMPP
CVE-2026-1074089.3, críticaCorrupción de memoria en DNS o DNS-over-HTTPSBalanceo DNS y resolución DNS recursiva
CVE-2026-1074099.3, críticaCorrupción de memoria en DNS-over-HTTPS (double free)Balanceo DNS sobre HTTPS (DoH)
CVE-2026-1074109.3, críticaDesbordamiento en NetScaler PushServidor virtual LB de tipo PUSH
CVE-2026-1074159.3, críticaDesbordamiento en autenticación Email OTPEmail Action configurada
CVE-2026-1113449.3, críticaDesbordamiento en Endpoint Analysis (EPA/EPAS)Servidor virtual VPN o AAA con Endpoint Analysis
CVE-2026-1208649.3, críticaDesbordamiento en ICA proxyGateway VPN, AAA, o servidor virtual CR de tipo HDX

El resto de las veintiocho son también, en su mayoría, fallas de memoria atadas a funciones concretas, con el mismo tipo de impacto descrito por el fabricante, y de gravedad alta o media. Entre las identificadas están: RTSP ALG (CVE-2026-107411); SAML (CVE-2026-107413); WebAuth (CVE-2026-107414); KBA (CVE-2026-111340); autenticación con certificado de cliente (CVE-2026-111341); LDAP (CVE-2026-111342); solicitud de autenticación (CVE-2026-111343); decodificación Base64 en expresiones de política avanzadas o Application Firewall (CVE-2026-111347); y SSL/TLS/DTLS en escenarios con perfil ECH, plataformas Intel QAT Coleto con ECH, o clave SafeNet HSM (CVE-2026-120867). CVE-2026-111348, de gravedad media, es de acceso local: material sensible de autenticación puede quedar escrito en /var/log/httperror.log, y hace falta lectura local en un equipo donde haya ocurrido un logout; no es una exposición remota.

Otras fallas del mismo boletín, descritas por función sin forzar un identificador cuando el aviso no quedó cruzado en esta revisión, afectan al manejo de solicitudes en el data path, HTTP/2, la descompresión o inspección de Application Firewall, el balanceo de Diameter, SIP sobre TCP, MQTT o RADIUS, GSLB y geolocalización, SIP ALG o el registro de la sección de respuesta DNS, HTTP/3 (QUIC), BGP cuando hay un vecino sin autenticación TCP-MD5, y el plano de gestión, que requiere alcanzar el NSIP o NSIP6 desde un host no confiable.

En NetScaler Console, CVE-2026-120869, con CVSS 4.0 9.3, crítica, permite a un atacante sin autenticación saltarse los controles de autenticación y acceder a recursos restringidos del appliance. Está corregida en 14.1-74.34.

El fabricante no informa explotación de estas vulnerabilidades. No se identificó una prueba de concepto pública. Esta línea de productos se explotó con rapidez en el pasado, como recogen la Alerta 2026-110 y la Alerta 2026-136. Las builds que cerraron aquellas alertas no bastan frente a este lote: hay que volver a actualizar.

Mitigación

El fabricante no publicó un workaround. La única solución que indica es actualizar. Se recomienda inventariar los appliances de NetScaler ADC, Gateway y Console, anotar la rama y la build exacta, y priorizar los equipos expuestos a internet configurados como Gateway o AAA, sin excluir el resto: CVE-2026-120868 alcanza a todas las instalaciones, incluida la configuración por defecto. Revisar si hay SMPP, DoH, Push, Email OTP, EPA o ICA proxy ayuda a dimensionar las otras CVE críticas, pero no exime de parchear.

Como práctica de endurecimiento —no como mitigación oficial— conviene no exponer a internet la interfaz de gestión (NSIP o NSIP6) ni NetScaler Console, y limitar su acceso a hosts de administración de confianza. Una de las fallas de memoria del boletín de ADC y Gateway requiere alcanzar esa dirección de gestión.

Estas medidas no reemplazan la actualización. El parche no deshace un compromiso previo.

Detección

El fabricante no publicó indicadores de compromiso.

Solución

La solución consiste en actualizar cada producto a la build corregida de su rama, o posterior. Las builds de las alertas 2026-110 y 2026-136 (14.1-73.37 y 13.1-64.23, y las FIPS equivalentes de aquel boletín) y las de la alerta 2026-117 (14.1-73.49 y 13.1-64.32) no alcanzan frente a este lote. Conviene priorizar Gateways y servidores virtuales AAA expuestos a internet, sin dejar de actualizar el resto, porque CVE-2026-120868 afecta a la configuración por defecto. En Secure Private Access Hybrid hay que actualizar las instancias NetScaler administradas por el cliente. El fabricante actualiza por su cuenta los servicios en la nube que gestiona y Adaptive Authentication. Las ramas 12.1 y 13.0 no reciben parches; deben migrarse a una rama con soporte ya corregida.

Producto / ramaCorrección
NetScaler ADC y Gateway 14.114.1-73.57 o posterior
NetScaler ADC y Gateway 13.113.1-64.39 o posterior de 13.1
NetScaler ADC 14.1-FIPS14.1-73.58 FIPS o posterior de 14.1-FIPS
NetScaler ADC 13.1-FIPS y 13.1-NDcPP13.1-37.293 o posterior de 13.1-FIPS y 13.1-NDcPP

Para info sobre cómo actualizar, visita el siguiente enlace:

https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697305

NetScaler Console

En NetScaler Console, la solución es actualizar a 14.1-74.34 o posterior. No conviene dejar la consola de gestión alcanzable desde internet; esa restricción no sustituye al parche.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697320

Información adicional: