Cloud Software Group ha lanzado parches de seguridad urgentes para NetScaler ADC (anteriormente Citrix ADC) y NetScaler Gateway (anteriormente Citrix Gateway), solucionando dos vulnerabilidades significativas que podrían permitir a atacantes remotos no autenticados comprometer los sistemas afectados. Las organizaciones que gestionan implementaciones propias están fuertemente instadas a aplicar las actualizaciones de inmediato. CVE-2026-3055: Lectura Crítica Fuera de Límites a través de SAML IDP 

Cloud Software Group ha lanzado parches de seguridad urgentes para NetScaler ADC (antes Citrix ADC) y NetScaler Gateway (antes Citrix Gateway), solucionando dos vulnerabilidades significativas que podrían permitir a atacantes remotos no autenticados comprometer los sistemas afectados.

Las organizaciones con implementaciones gestionadas por el cliente están fuertemente instadas a aplicar las actualizaciones de inmediato.

CVE-2026-3055: Lectura Crítica Fuera de Límites a través de SAML IDP

La más grave de las dos fallas, CVE-2026-3055, tiene una puntuación base CVSS v4.0 de 9.3, clasificándola como crítica. La vulnerabilidad surge de una validación insuficiente de entrada que conduce a una condición de lectura excesiva de memoria (CWE-125: Lectura Fuera de Límites).

La falla no requiere autenticación, interacción del usuario ni condiciones previas especiales más allá de un requisito clave de configuración: el dispositivo debe estar configurado como un Proveedor de Identidad SAML (IDP).

Notablemente, Cloud Software Group reveló que esta vulnerabilidad fue identificada internamente a través de su programa continuo de revisión de seguridad, lo que sugiere que no se había observado explotación activa en el momento de la divulgación.

Sin embargo, la gravedad crítica y el vector de ataque sin privilegios la convierten en un objetivo de parcheo de alta prioridad. Los administradores pueden verificar su exposición revisando la configuración de NetScaler en busca de la cadena add authentication samlIdPProfile .*.

CVE-2026-4368: Condición de Carrera que Causa Mezcla de Sesiones

La segunda vulnerabilidad, CVE-2026-4368, tiene una puntuación de 7.7 (Alta) en la escala CVSS v4.0 e implica una condición de carrera (CWE-362) que puede resultar en la mezcla de sesiones de usuario.

Esta falla afecta a dispositivos configurados como Gateway (SSL VPN, ICA Proxy, CVPN o RDP Proxy) o como un servidor virtual AAA. Aunque requiere autenticación de bajo privilegio y una condición de tiempo adyacente (AT:P), la explotación exitosa podría resultar en un compromiso total de la confidencialidad e integridad de las sesiones de usuario, un riesgo significativo en entornos empresariales de VPN.

Los administradores pueden identificar la exposición revisando las configuraciones de NetScaler en busca de add authentication vserver .* o add vpn vserver .*.

Versiones Afectadas y Guía de Parcheo

Las vulnerabilidades afectan a las siguientes versiones:

Cloud Software Group recomienda actualizar a las siguientes versiones corregidas:

• NetScaler ADC y Gateway 14.1-66.59 o posterior
• NetScaler ADC y Gateway 13.1-62.23 o posterior
• NetScaler ADC 13.1-FIPS / NDcPP 13.1.37.262 o posterior

Es importante destacar que este aviso aplica exclusivamente a implementaciones gestionadas por el cliente. Los servicios en la nube gestionados por Citrix y las instancias de Autenticación Adaptativa ya han sido actualizados por Cloud Software Group.

Dado que NetScaler ADC y Gateway están ampliamente desplegados en perímetros empresariales como controladores de entrega de aplicaciones y VPN, los sistemas sin parchear representan una superficie de ataque significativa.

Los equipos de seguridad deben priorizar la implementación de parches, especialmente para los dispositivos configurados como SAML IDP, dada la puntuación crítica de CVE-2026-3055.