Esta es una explicación rápida de una vulnerabilidad que se está explotando activamente (incluida en el catálogo KEV de CISA). Cubre qué ocurre, quién está afectado y cómo responder, desde el punto de vista del defensor, sin pasos para reproducirla.
- CVE
- CVE-2026-88779 (boletín del fabricante CTX697174)
- Gravedad
- Fabricante: Alta / CVSS v4.0 8.7 (NVD aún no lo ha analizado; sin puntuación v3.1)
- Tipo
- Fallo de memoria (CWE-119: operaciones fuera de los límites de un búfer de memoria)
- Impacto
- Clasificación del fabricante: denegación de servicio (DoS). La posible ejecución de código está siendo investigada por investigadores
- Requisitos previos
- Sin autenticación, sin interacción del usuario. Equipos configurados como SAML SP o SAML IdP
- Afectados
- NetScaler ADC / NetScaler Gateway 14.1 y 13.1, además de las versiones FIPS/NDcPP, anteriores a las versiones corregidas
- Solución
- 14.1-73.41 / 13.1-64.28 y otras, publicadas el 3 de octubre de 2026 (las versiones del 27 de septiembre no lo corrigen)
- Explotación
- En KEV de CISA (añadido el 4 de octubre de 2026, plazo de corrección el 7 de octubre), marcado como que requiere análisis forense
¿Qué tan peligroso es esperar?
El fabricante afirma haber observado ataques dirigidos contra despliegues de NetScaler sin mitigar que pueden provocar DoS. NetScaler Gateway se usa como punto de entrada VPN y de acceso remoto, así que cuando cae, cae también el trabajo remoto. Este producto ha tenido una serie de fallos explotados desde septiembre: CVE-2026-19490 (omisión de autenticación), y después CVE-2026-88771/88772 (ejecución de código). Suponga que los atacantes trabajan continuamente sobre este producto.
¿Qué tipo de fallo es?
SAML es una forma de iniciar sesión a los usuarios trasladando el resultado de un inicio de sesión realizado en otro sistema. NetScaler puede actuar como el lado que acepta ese resultado (SP) o como el que lo emite (IdP). Según el boletín del fabricante, los equipos con el procesamiento SAML activado tenían un fallo que permite que las operaciones se ejecuten fuera de los límites de un búfer de memoria (CWE-119). Este sitio no describe cómo se explota.
El fabricante lo clasifica como denegación de servicio, y el vector CVSS v4.0 indica «sin autenticación, solo impacto en la disponibilidad». El fabricante afirma que no ha identificado un impacto en la integridad de los datos de los clientes. Sin embargo, investigadores han informado de observaciones que sugieren que podría haberse usado para ejecutar código y no solo para DoS. Eso está bajo investigación y no está confirmado.
La postura del fabricante (boletín y blog)
- Clasificado como denegación de servicio causada por corrupción de memoria
- Se han observado ataques dirigidos contra despliegues sin mitigar
- No se ha identificado impacto en la integridad de los datos de los clientes
Observaciones de investigadores (según se informa)
- Informes de programas maliciosos ejecutándose incluso en honeypots parcheados
- Si eso es ejecución de código a través de este fallo está bajo investigación
- CVE-2026-8452, otro fallo de configuración SAML, se publicó como DoS y después se analizó como causa de ejecución de código
Anterior a 14.1-73.37: ni 88771/88772 ni 88779 corregidos
→ actualice y compruebe también si hubo intrusión
14.1-73.37 (corrección del 27 sep): 88779 no corregido
→ si usa SAML, actualice de nuevo
14.1-73.41 o posterior (corrección del 3 oct): fuera de este boletín
→ en 13.1, el equivalente es 13.1-64.28 o posterior
Quién está afectado
| Línea de versión | Versiones afectadas | Versiones corregidas |
|---|---|---|
| NetScaler ADC / Gateway 14.1 | anteriores a 14.1-73.41 | 14.1-73.41 y posteriores |
| NetScaler ADC / Gateway 13.1 | anteriores a 13.1-64.28 | 13.1-64.28 y posteriores |
| NetScaler ADC 14.1-FIPS | anteriores a 14.1-73.41 FIPS | 14.1-73.41 FIPS y posteriores |
| NetScaler ADC 13.1-FIPS / 13.1-NDcPP | anteriores a 13.1-37.282 | 13.1-37.282 y posteriores |
- El requisito previo es una configuración de SAML SP (
add authentication samlAction) o de SAML IdP (add authentication samlIdPProfile). - Las implantaciones híbridas de Secure Private Access que usan NetScaler están afectadas; los clientes actualizan esas instancias de NetScaler.
- El fabricante actualiza los servicios en la nube gestionados por Citrix y Adaptive Authentication.
- El boletín solo enumera las líneas compatibles indicadas arriba. Si usa una línea sin soporte, migre a una compatible.
Qué hacer
Compruebe si usa SAML
Busque add authentication samlAction (SAML SP) o add authentication samlIdPProfile (SAML IdP) en la configuración de NetScaler. Cualquiera de los dos incluye el equipo en el alcance. Si tiene varios, revise cada uno (lista de comprobación de inventario de seguridad).
Actualice a la versión corregida (primera prioridad)
Pase a la versión corregida de su línea o posterior (14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282). Se incluyen los equipos con las versiones del 27 de septiembre (14.1-73.37 y similares). Después de actualizar, confirme el número de versión que está realmente en ejecución. Este boletín (CTX697174) no enumera pasos adicionales tras la actualización, como cerrar sesiones.
Si no puede actualizar de inmediato, cubra la brecha
El boletín no indica ninguna solución alternativa. Según informes de prensa, el blog del fabricante menciona la Global Deny List de NetScaler (una función que bloquea el tráfico de fuentes de ataque conocidas) como medida provisional hasta que actualice. No sustituye a la actualización.
Compruebe si hubo caídas e intrusión
CISA marca este CVE para análisis forense. Primero, compruebe si el equipo se cayó o reinició inesperadamente antes de la actualización, y contacte con el soporte del fabricante si ocurrió. Los equipos que recibieron la corrección de 88771/88772 después del 27 de septiembre deben revisarse con los pasos ante un posible compromiso (CTX694799) del fabricante y con las comprobaciones de la alerta de JPCERT/CC (cambios sospechosos en la configuración del servidor web, archivos desconocidos, cambios sospechosos de permisos, etc.).
Si encuentra indicios de intrusión, no se quede en «parcheado»
Una actualización cierra el agujero; no elimina una puerta trasera ya instalada ni las credenciales ya robadas. Reconstruya el equipo, reemplace los certificados, claves y contraseñas almacenados en él, y revise las cuentas que iniciaron sesión a través de él. El proceso completo está en el manual de remediación de vulnerabilidades.
Los fallos explotados justo antes de este: CVE-2026-88771 / 88772
El 27 de septiembre de 2026 el fabricante divulgó ocho vulnerabilidades y confirmó la explotación de dos. CISA añadió ambas a KEV ese mismo día.
- CVE-2026-88771: validación incorrecta de entradas (CWE-20) que permite a un atacante no autenticado ejecutar comandos arbitrarios. Según JPCERT/CC, todas las configuraciones, incluida la predeterminada, están afectadas
- CVE-2026-88772: fallo de memoria (CWE-119) que lleva a ejecución de código o DoS. Afecta a configuraciones con DTLS habilitado, que está activado por defecto en los servidores virtuales de VPN de Gateway
- Corregido en 14.1-73.37, 13.1-64.23 y otras. JPCERT/CC indica que se observaron intentos de ataque contra NetScaler en Japón desde el 24 de septiembre
- Un informe de un equipo de inteligencia de amenazas, citado por JPCERT/CC, describe actividad posterior a la explotación de 88772, como la colocación de web shells para mantener el acceso
Antes, el 9 de septiembre, CVE-2026-19490 (omisión de autenticación en configuraciones de servidores virtuales de Gateway y AAA) también se añadió a KEV.
Opinión de este sitio: en un equipo VPN, trate «solo DoS» como máxima prioridad de todos modos
El fabricante clasifica este fallo como DoS, y EPSS (la probabilidad estimada de explotación en los próximos 30 días) es un bajo 0,3%. Aun así, creemos que merece la misma prioridad que un fallo de ejecución de código, por tres razones.
Primero, NetScaler Gateway es la vía de entrada desde el exterior, así que una caída ya es costosa por sí misma. Segundo, CVE-2026-8452, otro fallo de configuración SAML, se publicó como DoS y después se analizó como causa de ejecución de código: las clasificaciones pueden cambiar. Tercero, este producto ha tenido cuatro fallos explotados en aproximadamente un mes, y los equipos necesitan actualizarse de nuevo justo después de haber sido actualizados.
Tener un equipo VPN implica poder aplicar actualizaciones de emergencia varias veces al mes. Si no puede, la pregunta pasa a ser si conviene mantener el equipo (defensa de equipos VPN).
Fuentes
- Cloud Software Group — CTX697174: Boletín de seguridad para CVE-2026-88779 (publicado el 3 de octubre de 2026, hora del Pacífico de EE. UU.; requisitos previos, versiones afectadas y corregidas, CVSS v4.0 8.7)
- NVD — CVE-2026-88779 (estado «Received», aún sin analizar, a fecha de 5 de octubre; CWE-119)
- CISA KEV — Catálogo de vulnerabilidades explotadas conocidas (añadido el 4 de octubre de 2026, plazo el 7 de octubre, se requiere análisis forense)
- JPCERT/CC — Alerta sobre CVE-2026-88771, CVE-2026-88772 y otras (en japonés; publicada el 28 de septiembre, actualizada el 2 de octubre; sin alerta sobre CVE-2026-88779 a fecha de 5 de octubre) / Alerta sobre CVE-2026-8452 (en japonés)
- IPA — Vulnerabilidades de NetScaler ADC y NetScaler Gateway (CVE-2026-88771, CVE-2026-88772 y otras) (en japonés)
- Prensa — BleepingComputer (declaraciones del blog del fabricante y observaciones de investigadores sobre posible ejecución de código; este artículo usa solo los hechos y las comprobaciones para defensores)
- FIRST — EPSS (0,0028 el 4 de octubre de 2026)
Lectura recomendada
- Práctica: Defensa de equipos VPN / El manual de remediación de vulnerabilidades
- Decisión: Priorizar con CVSS, EPSS y KEV
- Términos: ¿Qué es una puerta trasera? / ¿Qué es un IOC? / ¿Qué es CVSS?