Citrix lanzó actualizaciones para corregir dos fallos de seguridad en NetScaler ADC y NetScaler Gateway, incluyendo una vulnerabilidad crítica de omisión de autenticación. Estos problemas afectan a despliegues gestionados por el cliente, mientras que los servicios en la nube de Citrix ya han sido actualizados. Se recomienda a los usuarios revisar sus configuraciones y actualizar a las versiones más recientes para evitar posibles ataques.






Citrix ha lanzado actualizaciones para solucionar dos fallos de seguridad que afectan a las implementaciones de NetScaler ADC y NetScaler Gateway, incluyendo una vulnerabilidad crítica de omisión de autenticación.

Según la empresa de tecnología de virtualización y computación en la nube, los problemas afectan a NetScaler ADC y NetScaler Gateway gestionados por el cliente, incluyendo ciertas compilaciones FIPS y NDcPP, así como implementaciones híbridas de SecurAccess ZTNA que utilicen instancias de NetScaler gestionadas por el cliente.

Cabe destacar que las vulnerabilidades no se aplican a los servicios en la nube gestionados por Citrix ni a la Autenticación Adaptativa gestionada por Citrix, ya que las actualizaciones necesarias ya han sido aplicadas. La lista de versiones de NetScaler afectadas se encuentra a continuación:

* NetScaler ADC y NetScaler Gateway 14.1 ANTES de 14.1-73.32
* NetScaler ADC y NetScaler Gateway 13.1 ANTES de 13.1-63.21
* NetScaler ADC FIPS ANTES de 14.1-73.32 FIPS
* NetScaler ADC FIPS y NDcPP ANTES de 13.1-37.277

La primera de las dos vulnerabilidades es la CVE-2026-19489 (puntuación CVSS: 8.8), una vulnerabilidad de desbordamiento de memoria que puede provocar un comportamiento impredecible o una denegación de servicio (DoS). Sin embargo, solo se aplica cuando el Gateway de Capa de Aplicación del Protocolo de Inicio de Sesión (SIP ALG) está habilitado en una configuración de grupo NAT a gran escala (LSN).

La CVE-2026-19490 (puntuación CVSS: 9.3), la más grave de las dos, es una vulnerabilidad de omisión de autenticación que afecta a los dispositivos configurados como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o un servidor virtual AAA, suponiendo que se cumplan los siguientes requisitos específicos de la versión:

* 14.1-43.56 o posterior - Aplicable solo cuando se configura con una acción SAML Y NetScaler está configurado con Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o vserver AAA
* 14.1-66.68-FIPS o posterior - Aplicable solo cuando se configura con una acción SAML Y NetScaler está configurado con Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o vserver AAA
* 14.1-43.55 o anterior - Aplicable cuando se configura con Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o vserver AAA
* 13.1-61.28 o posterior - Aplicable solo cuando se configura con una acción SAML
* 13.1-61.27 o anterior - Aplicable cuando se configura con Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o vserver AAA
* 13.1 FIPS - Aplicable cuando se configura con Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o vserver AAA

"Los clientes también deben revisar sus configuraciones para determinar si se aplican las precondiciones documentadas", afirmó Citrix. "La priorización debe basarse en la exposición, el rol de implementación y si la configuración afectada está habilitada".

Para la CVE-2026-19489, puedes comprobar si tu dispositivo cumple la precondición inspeccionando tu configuración de NetScaler en busca de la cadena especificada:

* add lsn group.*sipalg.*

Del mismo modo, para la CVE-2026-19490, puedes verificar tu configuración de NetScaler mediante la siguiente cadena:

* add authentication samlAction.* (configuración de acción SAML)
* add authentication vserver .* o add vpn vserver .* (para vserver AAA o VPN)

"Además, esta vulnerabilidad puede mitigarse mediante el uso de firmas si utilizas NetScaler Console (servicio o local) y si la versión del firmware de NetScaler es superior a 14.1-60.52 y 13.1-63.16 o superior, que cuentan con una función llamada Global Deny Lists que consume las firmas y las aplica automáticamente a los dispositivos NetScaler gestionados a través de NetScaler Console", dijo Citrix. "La función está habilitada por defecto".

Las actualizaciones están disponibles en las siguientes versiones:

* NetScaler ADC y NetScaler Gateway 14.1-73.32 o posterior
* NetScaler ADC y NetScaler Gateway 13.1-63.21 o posterior
* NetScaler ADC FIPS 14.1-73.32 FIPS o posterior
* NetScaler ADC FIPS y NDcPP 13.1-37.277 o posterior

Citrix ha acreditado a Samarth Vashisht, del equipo de pen-test de JPMorgan Chase, por descubrir y reportar los fallos. Aunque no hay pruebas de que las deficiencias hayan sido explotadas en entornos reales, las vulnerabilidades de Citrix recién reveladas han sido un objetivo lucrativo para los atacantes.

El mes pasado, una vulnerabilidad de validación de entrada insuficiente en NetScaler ADC y NetScaler Gateway (CVE-2026-8451, puntuación CVSS: 8.8) experimentó esfuerzos de explotación activa en menos de 24 horas tras su divulgación pública.

Fuente:
THN