Zero-day en NetScaler CVE-2026-88779: DoS en entornos con SAML

📌 Novedades posteriores: NetScaler CVE-2026-107406: SAML IdP en riesgo incluso con parches (9 de octubre de 2026) · Día cero en NetScaler: malware WHIPSHOT y SLAPSHOT, IoC a buscar (29 de septiembre de 2026)

Citrix ha corregido CVE-2026-88779, una vulnerabilidad de NetScaler ADC y NetScaler Gateway que ya se explotaba en ataques dirigidos antes de que existiera el parche. Es un desbordamiento de memoria. Si el equipo usa autenticación SAML, el fallo permite bloquearlo en remoto y cortar el acceso a los servicios que protege. La CISA la incluyó el 4 de octubre en el catálogo Known Exploited Vulnerabilities (KEV) y dio de plazo hasta el 7 de octubre a las agencias federales de Estados Unidos.

Pocos días después, el 8 de octubre, Citrix publicó un segundo boletín para CVE-2026-107406. Es otro desbordamiento de memoria en las mismas configuraciones SAML, esta vez calificado como crítico y con posible ejecución remota de código.

Qué ha pasado

El viernes 2 de octubre, mientras circulaban informes de explotación, Citrix confirmó que investigaba un problema relacionado con la autenticación SAML en las instalaciones de NetScaler gestionadas por los clientes. Durante el fin de semana publicó el boletín con las versiones corregidas y una mitigación temporal. El fabricante confirma que ha observado ataques dirigidos contra instalaciones no mitigadas, con efectos de denegación de servicio. También afirma que la integridad de los datos de los clientes no se ha visto afectada. En los agradecimientos del boletín aparecen watchTowr y Bishop Fox.

watchTowr reprodujo la vulnerabilidad. Según la empresa, basta una sola petición manipulada para dejar el equipo fuera de servicio. Sus investigadores creen que los atacantes usaron el fallo para provocar caídas a propósito y acelerar la explotación de CVE-2026-88771, uno de los dos zero-day con ejecución de código que Citrix corrigió el 27 de septiembre. Es una hipótesis de los investigadores, y el fabricante no la ha confirmado.

Detalles técnicos

• CVE: CVE-2026-88779, CVSS 8.7. La CISA la clasifica como restricción incorrecta de operaciones dentro de los límites de un búfer de memoria (CWE-119).
• Productos y versiones afectadas:
  • NetScaler ADC y NetScaler Gateway 14.1 anteriores a 14.1-73.41;
  • NetScaler ADC y NetScaler Gateway 13.1 anteriores a 13.1-64.28.
• Condición necesaria: el equipo debe estar configurado como proveedor de servicios (SP) o proveedor de identidad (IdP) SAML. En ese caso, la configuración contiene líneas como add authentication samlAction (SP) o add authentication samlIdPProfile (IdP).
• Vector: red. El atacante envía una petición manipulada al servidor virtual (Gateway o AAA) que usa SAML.
• Efecto confirmado por Citrix: denegación de servicio. BleepingComputer informa de que investigadores y administradores indicaron después que también podría usarse para ejecutar código. Sin embargo, el boletín del fabricante solo describe la denegación de servicio.
• MITRE ATT&CK: T1190 (Exploit Public-Facing Application) y T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

CVE-2026-107406 (CVSS 9.5) afecta a los mismos productos configurados como SP o IdP SAML, en condiciones de configuración específicas. También afecta a las instalaciones Secure Private Access Hybrid que usan NetScaler. Las versiones corregidas son 14.1-73.46, 13.1-64.29 y 14.1-73.46 FIPS, además de 13.1.37.283 para 13.1-FIPS y 13.1-NDcPP. Cuando se publicó el boletín, Citrix declaró que no tenía constancia de que se estuviera explotando.

El contexto

El 27 de septiembre Citrix publicó ocho CVE de ADC y Gateway. Dos de ellas, CVE-2026-88771 y CVE-2026-88772, ya se explotaban antes de que existiera el parche. Según la prensa, los ataques afectaron a organismos públicos y a organizaciones de servicios financieros, educación, despachos jurídicos y servicios profesionales. Los atacantes instalaron web shells y malware de tunelización, robaron credenciales, obtuvieron privilegios de root y se movieron por las redes internas. En agosto la CISA ya había añadido al KEV otro desbordamiento de memoria de los mismos productos, CVE-2026-8452.

Shadowserver contabiliza más de 21.000 direcciones IP expuestas en Internet con la huella de NetScaler. No se sabe cuántas son vulnerables, cuántas ya están actualizadas y cuántas son honeypots.

Impacto para las empresas europeas e italianas

NetScaler Gateway suele ser el punto de entrada para el teletrabajo y las aplicaciones virtualizadas. Si el gateway cae, se detiene el trabajo de quien depende de él. En el sector sanitario, el gateway puede dar acceso remoto a los sistemas clínicos, así que la denegación de servicio es también un problema de continuidad operativa.

Para las entidades sujetas a NIS2, la interrupción de un servicio de acceso crítico puede ser un incidente que hay que evaluar para notificarlo al CSIRT nacional. En Italia es el CSIRT Italia de la ACN. Además, la serie de vulnerabilidades en los mismos equipos exige una gestión de vulnerabilidades documentada y con prioridades explícitas.

Qué hacer ya

1. Localiza los equipos afectados: haz una lista de todos los NetScaler ADC y Gateway, incluidas las instancias que usa Secure Private Access Hybrid. Busca en la configuración las líneas add authentication samlAction y add authentication samlIdPProfile.
2. Actualiza: instala como mínimo las versiones del boletín del 8 de octubre (14.1-73.46, 13.1-64.29 y las correspondientes FIPS y NDcPP). Son posteriores a las que corrigen CVE-2026-88779 (14.1-73.41 y 13.1-64.28).
3. Si no puedes actualizar enseguida, aplica las firmas que Citrix publicó mediante la función NetScaler Global Deny List. Es una medida temporal hasta que puedas instalar la versión corregida.
4. Busca indicios de compromiso: ejecuta el script de Citrix para los indicadores de compromiso. Como recuerda watchTowr, un resultado limpio no es una prueba definitiva. Empieza por los equipos configurados como Gateway o servidor virtual AAA con SAML activo.
5. Relaciona los eventos: investiga cada reinicio o caída inesperada reciente de un NetScaler. Comprueba también que estén instaladas las correcciones de CVE-2026-88771 y CVE-2026-88772, porque la denegación de servicio podría haberse usado para explotarlas.
6. Vigila la superficie expuesta: comprueba qué interfaces de NetScaler son accesibles desde Internet y si realmente tienen que serlo.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos reconoce en ellos y cuáles tienen vulnerabilidades conocidas. Así encuentras rápido los gateways que hay que actualizar. ARX Sentry reúne los logs de los dispositivos de red en un colector central, para que los analistas vean las anomalías del perímetro. ARX Horizon te permite consultar desde el portal las vulnerabilidades y los indicadores de compromiso.

Última actualización: 9 de octubre de 2026