CISA afirma que los atacantes están explotando dos vulnerabilidades críticas de Citrix NetScaler a nivel mundial.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el domingo dos vulnerabilidades críticas de Citrix NetScaler ADC y Gateway a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), tras informes de explotación activa.

Las vulnerabilidades se detallan a continuación:

CVE-2026-88771 (puntuación CVSS: 9.5): Vulnerabilidad de validación de entrada incorrecta que podría permitir a un atacante no autenticado ejecutar comandos arbitrarios.

CVE-2026-88772 (puntuación CVSS: 9.5): Vulnerabilidad de restricción incorrecta de operaciones dentro de los límites de un búfer de memoria que podría permitir la ejecución remota de código o una denegación de servicio.

Si bien la vulnerabilidad CVE-2026-88771 afecta a todas las implementaciones de NetScaler ADC y NetScaler Gateway, la vulnerabilidad CVE-2026-88772 requiere que la configuración DTLS esté habilitada en NetScaler ADC o NetScaler Gateway, una opción que está activada de forma predeterminada en los servidores virtuales VPN. La configuración relevante es la siguiente: add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE

Ambos problemas se han solucionado en las siguientes versiones:

Citrix NetScaler ADC y Citrix NetScaler Gateway 14.1-73.37 y versiones posteriores

Citrix NetScaler ADC y Citrix NetScaler Gateway 13.1-64.23 y versiones posteriores de la versión 13.1

Citrix NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS y versiones posteriores de la versión 14.1-FIPS

Citrix NetScaler ADC 13.1-FIPS y 13.1-NDcPP 13.1.37.279 y versiones posteriores de las versiones 13.1-FIPS y 13.1-NDcPP

CISA ha recibido informes y la inteligencia sobre amenazas de socios confirma que los ciberdelincuentes están explotando activamente estas vulnerabilidades a nivel mundial", declaró la agencia.

"Dado que la actualización de los dispositivos Citrix NetScaler puede ser compleja y requerir tiempo de inactividad, CISA emite esta alerta para ayudar a las organizaciones a evaluar la exposición, priorizar las medidas de mitigación e incorporar estas vulnerabilidades en sus actividades de gestión de riesgos".