Citrix advierte sobre una vulnerabilidad crítica (CVE-2026-107406) en NetScaler ADC y Gateway que podría permitir la ejecución remota de código o causar denegaciones de servicio. El fallo afecta a dispositivos configurados como proveedores de identidad o servicio SAML, por lo que se insta a los administradores a actualizar a las versiones recomendadas inmediatamente. Aunque no se han reportado exploits activos de este fallo específico, Citrix subraya la urgencia debido al historial de vulnerabilidades similares explotadas recientemente.





Citrix ha advertido a los administradores de TI que parcheen sus sistemas inmediatamente contra una nueva vulnerabilidad crítica que afecta a los dispositivos de red NetScaler ADC y a las soluciones de acceso remoto seguro NetScaler Gateway.

Identificada como CVE-2026-107406, este fallo se deriva de una debilidad de desbordamiento de memoria que los atacantes pueden explotar para lograr la ejecución remota de código (RCE) en los dispositivos objetivo o provocar un estado de denegación de servicio que puede causar caídas del sistema.

Para ser vulnerables, los dispositivos NetScaler ADC y NetScaler Gateway deben estar configurados como Proveedor de Identidad (IdP) o Proveedor de Servicios (SP) del Lenguaje de Marcado de Aseveraciones de Seguridad (SAML).

"Instamos encarecidamente a los clientes afectados a que revisen el aviso y actualicen las instancias de NetScaler afectadas a las versiones recomendadas lo antes posible", afirmó la empresa en su comunicado. "A fecha de publicación del boletín, Citrix no tiene conocimiento de ninguna explotación no mitigada de esta vulnerabilidad".

Citrix aconsejó a los clientes actualizar los dispositivos NetScaler ADC y NetScaler Gateway vulnerables a:

* NetScaler ADC y NetScaler Gateway 14.1-73.46 y posteriores,
* NetScaler ADC y NetScaler Gateway 13.1-64.29 y versiones posteriores de 13.1
* NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS y versiones posteriores de 14.1-FIPS
* NetScaler ADC 13.1-FIPS y 13.1-NDcPP 13.1.37.283 y versiones posteriores de 13.1-FIPS y 13.1-NDcPP

El observatorio de amenazas de Internet Shadowserver rastrea más de 21.000 direcciones IP con huellas de NetScaler expuestas en Internet (incluyendo algo más de 1.500 instancias de Gateway y casi 20.000 dispositivos NetScaler ADC).

Sin embargo, en este momento no hay información sobre cuántos son honeypots, cuántos ya han sido parcheados o cuántos tienen configuraciones vulnerables.

Dispositivos netscaler expuestos a internet (shadowserver)

Aunque Citrix no ha encontrado pruebas de que los atacantes hayan comenzado a explotar el CVE-2026-107406 en entornos reales, la empresa advirtió sobre varias otras vulnerabilidades de NetScaler que los atacantes han abusado desde principios de año.

Por ejemplo, en marzo, Citrix instó a los clientes a parchear otros dos problemas de seguridad de NetScaler (CVE-2026-3055 y CVE-2026-4368) días antes de que los actores de amenazas comenzaran a abusar de ellos.

Más recientemente, en septiembre, lanzó actualizaciones de seguridad para otros dos zero-days de RCE de NetScaler explotados activamente (CVE-2026-88771 y CVE-2026-88772) que permitían a los atacantes desplegar shells web personalizadas y malware de tunelización, robar credenciales, obtener acceso root y propagarse por las redes internas de las víctimas.

A principios de este mes, Citrix emitió actualizaciones de emergencia para abordar un fallo zero-day de denegación de servicio de NetScaler (CVE-2026-88779) que investigadores y administradores afirmaron posteriormente que también podría explotarse para lograr la ejecución remota de código.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha señalado 27 vulnerabilidades de Citrix explotadas activamente desde noviembre de 2021, incluyendo siete abusadas en ataques de ransomware.

Fuente:
BleepingComputer