Los clientes de Citrix NetScaler informan que sus dispositivos se reinician repetidamente tras instalar la actualización de emergencia 14.1-73.37, diseñada para corregir dos vulnerabilidades de día cero. El problema parece estar relacionado con tráfico de autenticación SAML manipulado que provoca la caída del servicio nsaaad. Citrix ha confirmado que sus equipos están rastreando este nuevo fallo de SAML y planean lanzar una solución.

Los clientes de Citrix NetScaler están informando reinicios repetidos del dispositivo tras instalar la versión 14.1-73.37, la actualización de emergencia lanzada para corregir dos fallos de día cero bajo ataque activo.

Los fallos parecen estar vinculados a tráfico de autenticación SAML manipulado que provoca la caída del servicio nsaaad. Citrix afirma que sus equipos de ingeniería y soporte están rastreando un problema de SAML detectado recientemente y planean publicar un nuevo boletín de seguridad y una versión corregida.

El punto clave es que los informes de reinicio aún no demuestran que los atacantes hayan evadido el parche de septiembre. La versión 14.1-73.37 sigue siendo la versión corregida de Citrix para 14.1 referente a CVE-2026-88771 y CVE-2026-88772.

El primer fallo permite que un atacante no autenticado ejecute comandos en cualquier despliegue afectado, mientras que el segundo puede permitir la ejecución de código o la denegación de servicio cuando DTLS está habilitado. Citrix confirmó la explotación de sistemas que no habían sido actualizados.

Por qué se reinician los sistemas parcheados

Administradores en Reddit describieron dispositivos NetScaler externos que ejecutan la versión 14.1-73.37 y que repentinamente entraron en ciclos de reinicio forzado. Un informe involucró a varios clientes y derivó en casos de severidad uno con Citrix.

Otro administrador señaló que los escaneos de vulnerabilidades fueron seguidos por caídas repetidas de nsaaad; tras demasiados fallos, el perro guardián pitboss reinició el dispositivo. Según se informa, el soporte de Citrix dijo que se estaba preparando una solución, pero estas afirmaciones en los foros aún no han sido confirmadas en un boletín final del proveedor.

El patrón es importante porque nsaaad gestiona las tareas de autenticación. Una solicitud manipulada puede hacer caer ese proceso sin darle al remitente el control del dispositivo. Sin embargo, las caídas repetidas pueden crear un evento grave de denegación de servicio, especialmente en una puerta de enlace orientada a internet utilizada para el trabajo remoto. Los pares de alta disponibilidad también pueden sufrir interrupciones si ambos nodos reciben el mismo tráfico o se reinician sucesivamente.

La guía temporal de despliegue SAML de Citrix indica a los clientes que comprueben si la configuración pertinente está presente, revisen las opciones de mitigación y se preparen para instalar la siguiente versión corregida. Al momento de escribir esto, el aviso no proporcionaba un nuevo CVE, detalles completos sobre la causa raíz ni un número de versión final. Esto significa que tú y tu equipo no deberíais presentar cada reinicio como una brecha confirmada ni asumir que la versión 14.1-73.37 ha reabierto los fallos anteriores.

Qué deben comprobar los defensores

Los equipos de seguridad deben, primero, preservar los archivos principales, los registros del sistema, los registros de autenticación y un paquete de soporte antes de que otro reinicio elimine pruebas útiles. Debes comparar los tiempos de reinicio con las solicitudes SAML entrantes, los registros del firewall y los registros del proveedor de identidad. Las comprobaciones deben incluir mensajes de caída de nsaaad, archivos en /var/core, cambios recientes de configuración, sesiones de administrador desconocidas y tráfico saliente inusual. Cualquier regla de bloqueo temporal debe tratarse como un puente corto, ya que las direcciones de origen pueden cambiar.

Las organizaciones también deben confirmar la versión instalada en cada nodo activo y de reserva. El boletín CTX697096 de Citrix enumera las versiones 14.1-73.37, 13.1-64.23 y las versiones correspondientes de FIPS o NDcPP como las correcciones para el día cero. Parchear detiene el nuevo uso de esos fallos, pero no elimina las shells web o el acceso obtenido antes de la actualización.

Esa advertencia es importante porque la cobertura anterior de Cybersecurity News describió el acceso de root observado, shells web ocultas y tunelización interna vinculadas a la campaña de septiembre.

También puedes revisar el informe original del día cero del sitio para ver las versiones afectadas y los detalles de exposición. Hasta que Citrix envíe su próxima actualización, los clientes afectados deben mantener abiertos los casos de soporte de severidad uno, utilizar únicamente los pasos de mitigación proporcionados por el proveedor y tratar los reinicios inexplicables tanto como un evento de tiempo de actividad como un posible incidente de seguridad.