Citrix ha instado a sus clientes a parchear un fallo de seguridad crítico en NetScaler ADC y NetScaler Gateway. Esta vulnerabilidad de desbordamiento de memoria, identificada como CVE-2026-107406, podría permitir la ejecución remota de código (RCE) o provocar una denegación de servicio. El fallo afecta a dispositivos con configuraciones SAML específicas y cuenta con una puntuación de gravedad de 9.5 según CVSS v4.0.

Citrix te ha instado a parchear un fallo de seguridad crítico en NetScaler ADC y NetScaler Gateway que podría permitir la ejecución remota de código o causar una denegación de servicio. Identificada como CVE-2026-107406, esta vulnerabilidad de desbordamiento de memoria tiene una puntuación CVSS v4.0 de 9.5 y afecta a los dispositivos con configuraciones SAML específicas. El boletín de seguridad, CTX697191, fue publicado el 8 de octubre de 2026.

Citrix afirmó que no tenía conocimiento de ningún exploit no mitigado en el momento de la publicación del boletín. No debes interpretar esa declaración como una prueba de que cada despliegue sea seguro. Aún necesitas comprobar tanto la versión de tu software como la configuración de autenticación para determinar si el fallo te afecta.

El boletín clasifica el problema como CWE-119, lo que significa que el software no restringe adecuadamente las operaciones dentro de un búfer de memoria. Una explotación exitosa podría permitir que un atacante ejecute código o interrumpa el servicio. Su vector de severidad publicado describe un ataque de red que no requiere privilegios ni interacción del usuario, pero con una alta complejidad de ataque. Citrix no ha proporcionado instrucciones detalladas sobre el exploit en el boletín.

Citrix ha reconocido a Michael Tucker, Chew Keong Tan y Alex Bernier del equipo XOR de JPMorgan Chase, junto con Maxim Suhanov, por su trabajo en este problema. El boletín no identifica ninguna campaña de ataque específica, organización víctima o exploit público, dejando esos detalles fuera del alcance del aviso publicado.

¿Qué despliegues de NetScaler están afectados?

La exposición depende de si NetScaler actúa como un proveedor de identidad SAML (IdP) o como un proveedor de servicios (SP). Estos roles admiten el inicio de sesión único: el proveedor de identidad suministra la información de autenticación, mientras que el proveedor de servicios la utiliza para conceder el acceso.

Para las versiones de NetScaler ADC y Gateway 14.1-73.37 hasta 14.1-73.41, y 13.1-64.23 hasta 13.1-64.28, la vulnerabilidad se aplica solo cuando el dispositivo está configurado como un SAML IdP. Ambos rangos incluyen sus extremos. La misma condición cubre las versiones de NetScaler ADC 14.1-FIPS 14.1-73.37 hasta 14.1-73.41 FIPS, y las versiones 13.1-FIPS y NDcPP 13.1-37.279 hasta 13.1-37.282.

Las versiones compatibles más antiguas tienen una exposición más amplia. Las versiones anteriores a 14.1-73.37 o 13.1-64.23 se ven afectadas cuando están configuradas ya sea como SAML SP o SAML IdP. Los umbrales correspondientes son 14.1-73.37 FIPS para los dispositivos 14.1-FIPS y 13.1-37.279 para los despliegues 13.1-FIPS y NDcPP.

Puedes comprobar tu configuración buscando add authentication samlAction, que identifica una configuración de SAML SP, o add authentication samlIdPProfile, que identifica una configuración de SAML IdP. Encontrar cualquiera de estas entradas no es suficiente por sí solo; debes cotejar la configuración con el rango de versiones aplicable.

Versiones Corregidas y Prioridades de Parcheo

Citrix recomienda actualizar NetScaler ADC y Gateway a la versión 14.1-73.46 o posterior en la rama 14.1, o a la 13.1-64.29 o posterior en la rama 13.1. Los clientes de NetScaler ADC 14.1-FIPS deben instalar la versión 14.1-73.46 FIPS o posterior. Para 13.1-FIPS y NDcPP, la versión corregida es la 13.1-37.283 o posterior dentro de esas ramas.

Los despliegues de Secure Private Access Hybrid que utilicen instancias afectadas de NetScaler también requieren actualizaciones. El boletín cubre los dispositivos gestionados por el cliente, no los servicios en la nube gestionados por Citrix ni la Adaptive Authentication gestionada por Citrix, los cuales el proveedor actualiza automáticamente.

La advertencia sigue a actualizaciones de seguridad previas de NetScaler. Recientemente se informó sobre un zero-day de NetScaler SAML y reinicios de dispositivos tras un parche anterior. Esos informes proporcionan un contexto útil, pero las versiones recomendadas en ellos no deben sustituir las correcciones especificadas para esta nueva vulnerabilidad.

Para ti, como administrador, la distinción clave es que un dispositivo parcheado para un problema anterior puede seguir necesitando otra actualización. Debes usar el boletín CTX697191 como referencia para este fallo, confirmar el rol SAML en cada dispositivo afectado e instalar la versión corregida correspondiente lo antes posible.

Fuentes:
https://cybersecuritynews.com/citrix-netscaler-adc-and-gateway-rce/