NetScaler CVE-2026-107406: SAML IdP en riesgo incluso con parches

Por tercera semana consecutiva, Citrix ha publicado un boletín crítico para NetScaler ADC y NetScaler Gateway gestionados por los clientes. La nueva vulnerabilidad, CVE-2026-107406 (CVSS 4.0: 9.5), es un desbordamiento de memoria en los equipos configurados para la autenticación SAML y puede provocar ejecución remota de código o denegación de servicio. Ya la mencionamos brevemente en el artículo sobre el día cero SAML CVE-2026-88779; a continuación, los detalles técnicos que han llegado con los avisos de las agencias nacionales.

Lo más importante si gestionas NetScaler: las builds instaladas en las últimas semanas para cerrar los días cero no bastan. Si actualizaste por CVE-2026-88771, CVE-2026-88772 y CVE-2026-88779 y el equipo actúa como proveedor de identidad SAML, tienes que actualizar otra vez.

Qué ha pasado

El boletín de Citrix (CTX697191) es del 8 de octubre. El 9 de octubre lo recogieron el Canadian Centre for Cyber Security (aviso AV26-1023) y el NCSC de Irlanda, que recomienda instalar las actualizaciones «con la máxima prioridad, tras pruebas exhaustivas». El 12 de octubre llegó también el aviso del KrCERT/CC coreano.

Según CSO Online, Citrix afirma no tener constancia de explotación de la vulnerabilidad en sistemas sin mitigar. A 9 de octubre, informa el NCSC irlandés, CVE-2026-107406 no figuraba en el catálogo Known Exploited Vulnerabilities (KEV) de la CISA.

Aun así, la secuencia es preocupante. El 27 de septiembre se corrigieron CVE-2026-88771 y CVE-2026-88772, ya explotadas antes del parche (lo contamos en el artículo sobre las intrusiones). Pocos días después llegó CVE-2026-88779, otro desbordamiento de memoria en las configuraciones SAML, explotado para dejar fuera de servicio los equipos. CVE-2026-107406 vuelve a afectar a la función SAML, que los atacantes ya han tenido en el punto de mira.

Detalles técnicos

• CVE: CVE-2026-107406, publicada el 8 de octubre de 2026.
• Debilidad: CWE-119, restricción incorrecta de operaciones dentro de los límites de un búfer de memoria (KrCERT/CC y NCSC irlandés).
• Gravedad: crítica, CVSS 4.0 de 9.5.
• Impacto: ejecución remota de código o denegación de servicio (NCSC irlandés y CSO Online).
• Vector: red, contra un equipo configurado como proveedor de servicios (SP) o proveedor de identidad (IdP) SAML. Si se explotara, correspondería en MITRE ATT&CK a T1190 (Exploit Public-Facing Application) y, por el efecto de DoS, a T1499.004 (Endpoint Denial of Service: Application or System Exploitation).
• Explotación conocida: ninguna cuando se publicaron los avisos; no se indica uso por operadores de ransomware.

Qué configuraciones están afectadas

La condición cambia según la versión. El aviso del NCSC irlandés recoge el esquema del boletín:

• Solo como IdP SAML son vulnerables las builds más recientes, justo las que corregían los días cero:
  • NetScaler ADC y Gateway de 14.1-73.37 a 14.1-73.41, ambas incluidas;
  • NetScaler ADC 14.1-FIPS de 14.1-73.37 FIPS a 14.1-73.41 FIPS, ambas incluidas;
  • NetScaler ADC y Gateway de 13.1-64.23 a 13.1-64.28, ambas incluidas;
  • NetScaler ADC 13.1-FIPS y 13.1-NDcPP de 13.1-37.279 a 13.1-37.282, ambas incluidas.
• Como SP o IdP SAML son vulnerables las builds anteriores:
  • NetScaler ADC y Gateway anteriores a 14.1-73.37 y a 13.1-64.23;
  • NetScaler ADC 14.1-FIPS anteriores a 14.1-73.37 FIPS;
  • NetScaler ADC 13.1-FIPS y 13.1-NDcPP anteriores a 13.1-37.279.

En la práctica: con una build de finales de septiembre o principios de octubre, un equipo que solo actúa como proveedor de servicios SAML no está afectado; uno que actúa como proveedor de identidad, sí. En builds más antiguas basta cualquier configuración SAML. Y quien sigue en builds más antiguas tampoco tiene las correcciones de los días cero explotados.

Versiones corregidas: 14.1-73.46 y posteriores, 13.1-64.29 y posteriores, 14.1-73.46 FIPS y 13.1-37.283 para 13.1-FIPS y 13.1-NDcPP. Las cuatro fuentes coinciden en estos números. El Canadian Centre for Cyber Security y el KrCERT/CC publican solo las versiones, sin las condiciones de configuración.

Impacto para las empresas europeas e italianas

NetScaler Gateway suele ser el punto de acceso remoto de empleados, proveedores y aplicaciones virtualizadas, y la función de IdP SAML lo convierte en el proveedor de identidad de otras aplicaciones. Una ejecución de código en este componente daría al atacante una posición privilegiada en el perímetro; un DoS bloquearía el trabajo de quien pasa por él. En el sector sanitario, eso incluye el acceso remoto a los sistemas clínicos.

Tres actualizaciones urgentes en tres semanas sobre los mismos equipos ponen a prueba los procesos. Para las entidades sujetas a NIS2, la gestión de vulnerabilidades debe estar documentada, con prioridades y plazos explícitos: aquí necesitas la prueba de que cada equipo con SAML ha llegado a las builds del 8 de octubre, no solo a las de finales de septiembre.

Qué hacer ya

1. Haz inventario de versiones: enumera todos los NetScaler ADC y Gateway, incluidas las instancias FIPS y NDcPP, con la build instalada.
2. Comprueba el rol SAML: como indicamos en el artículo sobre CVE-2026-88779, la configuración IdP contiene líneas add authentication samlIdPProfile y la SP líneas add authentication samlAction. Da prioridad a los equipos IdP, vulnerables incluso con las builds más recientes.
3. Actualiza: lleva los equipos a 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS o 13.1-37.283, aunque los hayas actualizado hace pocos días. Las nuevas builds incluyen las correcciones anteriores.
4. No te saltes las comprobaciones de los días cero: si un equipo sigue en una build anterior a 14.1-73.37 o 13.1-64.23, también estaba expuesto a CVE-2026-88771 y CVE-2026-88772. Antes de actualizar, busca señales de compromiso como se describe en el artículo sobre WHIPSHOT y SLAPSHOT.
5. Vigila las señales: investiga los reinicios o caídas anómalas de los equipos con SAML activo, sobre todo después del caso de CVE-2026-88779.
6. Controla el catálogo KEV: si la CISA añade CVE-2026-107406, trata cada equipo sin actualizar como potencialmente comprometido.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a encontrar rápidamente los NetScaler que aún hay que actualizar. ARX Sentry recoge los registros de los dispositivos de red en un colector central, para que los reinicios anómalos y las conexiones sospechosas desde el perímetro queden a la vista de los analistas. Con ARX Horizon puedes consultar desde el portal las vulnerabilidades y los indicadores de compromiso.

Última actualización: 12 de octubre de 2026