Una vulnerabilidad crítica de NetScaler puede eludir la autenticación en ciertos servidores de puerta de enlace y AAA.

Citrix ha publicado actualizaciones para solucionar dos fallos de seguridad que afectan a las implementaciones de NetScaler ADC y NetScaler Gateway, incluyendo una vulnerabilidad de omisión de autenticación de gravedad crítica.

Según la empresa de tecnología de computación en la nube y virtualización, los problemas afectan a las instancias de NetScaler ADC y NetScaler Gateway gestionadas por el cliente, incluyendo ciertas compilaciones FIPS y NDcPP, así como a las implementaciones híbridas de SecurAccess ZTNA que utilizan instancias de NetScaler gestionadas por el cliente.

Cabe destacar que las vulnerabilidades no afectan a los servicios en la nube gestionados por Citrix ni a la autenticación adaptativa gestionada por Citrix, ya que las actualizaciones necesarias ya se han aplicado. A continuación se muestra la lista de versiones de NetScaler afectadas:

NetScaler ADC y NetScaler Gateway 14.1 ANTES de la versión 14.1-73.32

NetScaler ADC y NetScaler Gateway 13.1 ANTES de la versión 13.1-63.21

NetScaler ADC FIPS ANTES de la versión 14.1-73.32 FIPS

NetScaler ADC FIPS y NDcPP ANTES de la versión 13.1-37.277

La primera de las dos vulnerabilidades es CVE-2026-19489 (puntuación CVSS: 8.8), una vulnerabilidad de desbordamiento de memoria que puede provocar un comportamiento impredecible o una denegación de servicio (DoS). Sin embargo, solo se aplica cuando el protocolo de inicio de sesión (SIP) Application Layer Gateway (ALG) está habilitado en una configuración de grupo NAT a gran escala (LSN).

CVE-2026-19490 (puntuación CVSS: 9.3), la más grave de las dos, es una vulnerabilidad de omisión de autenticación que afecta a los dispositivos configurados como puerta de enlace (SSL VPN, proxy ICA, CVPN, proxy RDP) o servidor virtual AAA, siempre que se cumplan los siguientes requisitos específicos de la versión:

14.1-43.56 o posterior: Aplicable solo cuando se configura con una acción SAML Y NetScaler está configurado como puerta de enlace (SSL VPN, proxy ICA, CVPN, proxy RDP) o servidor virtual AAA.

14.1-66.68-FIPS o posterior: Aplicable solo cuando se configura con una acción SAML Y NetScaler está configurado como puerta de enlace (SSL VPN, proxy ICA, CVPN, proxy RDP) o servidor virtual AAA.

14.1-43.55 o anterior: Aplicable cuando se configura como puerta de enlace (SSL VPN, proxy ICA, CVPN, proxy RDP) o servidor virtual AAA. 13.1-61.28 o posterior: Aplicable solo cuando se configura con una acción SAML.

13.1-61.27 o anterior: Aplicable cuando se configura con Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o servidor virtual AAA.

13.1 FIPS: Aplicable cuando se configura con Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o servidor virtual AAA.

«Los clientes también deben revisar sus configuraciones para determinar si se aplican las condiciones previas documentadas», indicó Citrix. «La priorización debe basarse en la exposición, el rol de implementación y si la configuración afectada está habilitada».