NetScaler ADC y Gateway: nuevas builds para los fallos PHP2Shell

El 27 de octubre de 2026 el CERT-FR (ANSSI) publicó el aviso CERTFR-2026-AVI-1394 sobre varias vulnerabilidades de Citrix NetScaler ADC y NetScaler Gateway. El riesgo indicado es la ejecución remota de código arbitrario. El aviso remite al boletín de Citrix CTX697263 del 26 de octubre, dedicado a CVE-2026-109618 y CVE-2026-109619.

Son los mismos identificadores de las dos vulnerabilidades críticas de PHP conocidas como PHP2Shell, de las que escribimos el 20 de octubre y el 23 de octubre. Entre los documentos citados por el CERT-FR figura también una guía de Citrix titulada «Protecting NetScaler management access from PHP CVE-2026-109618, CVE-2026-109619»: el boletín lleva por tanto a NetScaler las correcciones de los dos fallos de PHP y, a juzgar por el título de la guía, el problema afecta al acceso de gestión de los equipos.

Para NetScaler es el cuarto boletín en un mes, después de los zero-day CVE-2026-88771 y CVE-2026-88772, del malware WHIPSHOT y SLAPSHOT usado en los ataques y de CVE-2026-107406 en SAML. A continuación, lo nuevo: las CVE, las versiones afectadas y las builds que debes instalar.

Qué dice el aviso

• Referencia: CERTFR-2026-AVI-1394, primera versión del 27 de octubre de 2026.
• Fuente del aviso: boletín de seguridad de Citrix CTX697263 del 26 de octubre de 2026.
• CVE: CVE-2026-109618 y CVE-2026-109619.
• Riesgo: ejecución remota de código arbitrario.
• Solución: las correcciones indicadas en el boletín de Citrix.

El aviso es escueto: no incluye puntuaciones CVSS, condiciones de explotación ni el componente de NetScaler afectado, y no habla de explotación en curso contra NetScaler. Este artículo se basa solo en el aviso del CERT-FR: para los detalles técnicos, la referencia es el boletín de Citrix.

Como contamos en los artículos sobre PHP, los dos fallos tienen una puntuación CVSS 4.0 de 9,2, el proyecto PHP los corrigió el 21 de octubre y, tras su divulgación, fueron objeto de numerosos intentos de explotación contra servidores PHP. Si se explotaran en NetScaler, corresponderían en MITRE ATT&CK a T1190 (Exploit Public-Facing Application).

Versiones afectadas

Según el CERT-FR, son vulnerables:

• NetScaler ADC 14.1.x anteriores a 14.1-73.49;
• NetScaler ADC 14.1-FIPS anteriores a 14.1-73.49 FIPS;
• NetScaler ADC 13.1.x anteriores a 13.1-64.32;
• NetScaler ADC 13.1-FIPS anteriores a 13.1-NDcPP 13.1.37.286;
• NetScaler Gateway 14.1.x anteriores a 14.1-73.49;
• NetScaler Gateway 13.1.x anteriores a 13.1-64.32.

Para la rama 13.1-FIPS la versión aparece así en el aviso: comprueba el número exacto de la build en el boletín CTX697263.

Atención si has actualizado hace poco. Las builds indicadas el 8 de octubre para CVE-2026-107406 (14.1-73.46, 13.1-64.29 y 14.1-73.46 FIPS) son anteriores a las del aviso: entran por tanto en las versiones afectadas y hay que actualizarlas de nuevo.

Impacto para las empresas europeas e italianas

NetScaler ADC y NetScaler Gateway están en el perímetro y a menudo gestionan el acceso remoto de empleados y proveedores. Una ejecución remota de código en estos equipos daría a un atacante una posición privilegiada hacia la red interna, como demostraron las intrusiones de septiembre.

Cuatro boletines en un mes sobre los mismos equipos ponen a prueba los procesos de actualización. Para las entidades sujetas a NIS2, la gestión de vulnerabilidades debe estar documentada, con prioridades y plazos explícitos: tienes que poder demostrar que cada NetScaler, incluidas las instancias FIPS y NDcPP, ha llegado a las builds del 26 de octubre. En la sanidad el gateway abre a menudo el acceso remoto a los sistemas clínicos y merece la misma urgencia. Cualquier incidente significativo debe evaluarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.

Qué hacer ahora

1. Haz inventario: enumera todos los NetScaler ADC y Gateway, incluidas las instancias FIPS y NDcPP, con la build instalada.
2. Actualiza: lleva los equipos al menos a 14.1-73.49, 13.1-64.32 o 14.1-73.49 FIPS; para 13.1-FIPS y 13.1-NDcPP, a la build indicada en el boletín CTX697263. También si actualizaste a principios de octubre.
3. Lee la guía de Citrix sobre la protección del acceso de gestión frente a CVE-2026-109618 y CVE-2026-109619 y aplícala, sobre todo si no puedes actualizar enseguida.
4. Limita el acceso de gestión: como regla general, las interfaces de administración de los equipos de red solo deben ser accesibles desde redes y puestos administrativos, nunca desde Internet.
5. Sigue solo las indicaciones de Citrix: las mitigaciones de configuración de PHP descritas en nuestros artículos valen para los servidores PHP, no para los equipos NetScaler.
6. No olvides los zero-day de septiembre: si un equipo estaba en una build anterior a 14.1-73.37 o 13.1-64.23, busca indicios de compromiso como se describe en el artículo sobre WHIPSHOT y SLAPSHOT, antes o junto con la actualización.
7. Vigila: accesos anómalos a las interfaces de gestión, reinicios inesperados y conexiones salientes inusuales desde los equipos deben investigarse.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a encontrar rápidamente los NetScaler que hay que actualizar y las interfaces de gestión accesibles desde fuera. ARX Sentry recoge los logs de los firewalls y de los dispositivos de red en un colector central, para que los accesos anómalos y las conexiones sospechosas desde el perímetro queden a la vista de los analistas. Con ARX Horizon puedes consultar desde el portal las vulnerabilidades y los indicadores de compromiso.

Última actualización: 27 de octubre de 2026