Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Citrix

Resumen de la alerta

Citrix ha publicado actualizaciones de seguridad para corregir 29 vulnerabilidades en productos NetScaler, de las cuales 10 están clasificadas como críticas. Los fallos afectan a Citrix NetScaler ADC, Citrix NetScaler Gateway y Citrix NetScaler Console, así como a instancias vulnerables de NetScaler incluidas en despliegues de Secure Private Access Hybrid.

El impacto potencial varía según la vulnerabilidad y la configuración afectada. Entre las consecuencias descritas se encuentran el funcionamiento anómalo de los dispositivos, la denegación de servicio y, en el caso de Citrix NetScaler Console, la posible omisión de controles de autenticación para acceder a recursos restringidos.

Según la información publicada, no se indica explotación conocida de los CVE críticos recogidos en este aviso. No obstante, la severidad de los fallos y la exposición habitual de estos componentes hacen recomendable priorizar la actualización.

Recursos afectados

Están afectadas las siguientes versiones con soporte de productos gestionados por el cliente:

• Citrix NetScaler ADC y Citrix NetScaler Gateway 14.1 anteriores a 14.1-73.57.
• Citrix NetScaler ADC y Citrix NetScaler Gateway 13.1 anteriores a 13.1-64.39.
• Citrix NetScaler ADC 14.1-FIPS anteriores a 14.1-73.58 FIPS.
• Citrix NetScaler ADC 13.1-FIPS y 13.1-NDcPP anteriores a 13.1-37.293.
• Citrix NetScaler Console 14.1 anteriores a 14.1-74.34.

También deben revisarse las instancias vulnerables de NetScaler utilizadas en despliegues de Secure Private Access Hybrid.

Descripción de las vulnerabilidades

La mayor parte de los fallos críticos detallados por Citrix se localizan en Citrix NetScaler ADC y Citrix NetScaler Gateway. Se trata principalmente de problemas de gestión de memoria, como desbordamientos, escrituras fuera de límites o doble liberación de memoria. En determinadas configuraciones, estos errores pueden causar un comportamiento no previsto o una denegación de servicio.

• CVE-2026-120868: desbordamiento de memoria durante el procesamiento de paquetes. Puede explotarse sin autenticación, incluso con la configuración predeterminada.
• CVE-2026-107407: desbordamiento de memoria al procesar tráfico SMPP. Afecta a NetScaler ADC con un servidor virtual de balanceo de carga o conmutación de contenido de tipo SMPP.
• CVE-2026-107408: escritura fuera de límites en el procesamiento de DNS y DNS sobre HTTPS, también denominado DoH. Afecta a configuraciones con balanceo de carga DNS y resolución recursiva habilitados.
• CVE-2026-107409: doble liberación de memoria en configuraciones con balanceo de carga de DNS sobre HTTPS.
• CVE-2026-107410: desbordamiento de búfer en NetScaler Push cuando se utiliza un servidor virtual de balanceo de carga de tipo PUSH.
• CVE-2026-107412: desbordamientos de memoria en dispositivos configurados como Gateway, incluidos SSL VPN, proxy ICA, CVPN o proxy RDP, o como servidor virtual AAA.
• CVE-2026-107415: desbordamiento de búfer en la autenticación mediante contraseñas de un solo uso enviadas por correo electrónico. Requiere tener configurada una acción de autenticación por correo.
• CVE-2026-111334: desbordamiento de memoria en Endpoint Analysis, EPA o EPAS. Afecta a servidores virtuales VPN o AAA con EPA habilitado.
• CVE-2026-120864: desbordamiento de memoria en el proxy ICA. Afecta a dispositivos con un servidor virtual VPN de Gateway, AAA o de redirección de caché de tipo HDX.

Por otro lado, CVE-2026-120869 afecta a Citrix NetScaler Console. Un atacante sin autenticar que pueda acceder a la dirección IP de NetScaler Console podría eludir la autenticación y acceder a recursos restringidos del dispositivo.

Impacto y nivel de riesgo

Las vulnerabilidades críticas de NetScaler ADC y NetScaler Gateway pueden provocar interrupciones de servicio o funcionamiento anómalo en funciones concretas, según los servicios y tipos de servidores virtuales configurados. La exposición práctica de varios CVE depende de que estén habilitadas capacidades como SMPP, DNS sobre HTTPS, NetScaler Push, autenticación OTP por correo electrónico, Endpoint Analysis o proxy ICA.

El caso de CVE-2026-120868 requiere una atención especial porque Citrix indica que puede explotarse sin autenticación incluso con la configuración predeterminada. Asimismo, CVE-2026-120869 supone un riesgo significativo para las instancias de NetScaler Console accesibles, ya que podría permitir sortear la autenticación sin que el atacante disponga de credenciales previas.

La fuente no informa de ataques activos ni de explotación confirmada para los CVE incluidos. Esta ausencia de explotación conocida no elimina la necesidad de aplicar las correcciones, especialmente en dispositivos que proporcionan acceso remoto, servicios de autenticación o funciones de red expuestas a otros sistemas.

Solución y medidas recomendadas

Citrix recomienda actualizar cuanto antes a una versión corregida de la rama correspondiente:

• Citrix NetScaler ADC y Citrix NetScaler Gateway 14.1: actualizar a 14.1-73.57 o una versión posterior de la misma rama.
• Citrix NetScaler ADC y Citrix NetScaler Gateway 13.1: actualizar a 13.1-64.39 o una versión posterior de la misma rama.
• Citrix NetScaler ADC 14.1-FIPS: actualizar a 14.1-73.58 FIPS o una versión posterior de la misma rama.
• Citrix NetScaler ADC 13.1-FIPS y 13.1-NDcPP: actualizar a 13.1-37.293 o una versión posterior de la misma rama.
• Citrix NetScaler Console 14.1: actualizar a 14.1-74.34 o una versión posterior de la misma rama.

El orden de actualización indicado por Citrix consiste en aplicar primero las actualizaciones en las instancias de NetScaler ADC y NetScaler Gateway y actualizar posteriormente NetScaler Console.

Los boletines de Citrix CTX697305 y CTX697320 recogen las correcciones publicadas. Para instalaciones de NetScaler Console con licencias heredadas basadas en archivo, Citrix dispone de una guía de actualización con el procedimiento y el orden aplicable.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de Citrix NetScaler ADC, Citrix NetScaler Gateway y Citrix NetScaler Console presentes en la organización, incluidas las asociadas a Secure Private Access Hybrid.
2. Comprobar la versión instalada y determinar si se encuentra dentro de los rangos vulnerables.
3. Priorizar la actualización de los dispositivos configurados como Gateway, SSL VPN, AAA, proxy ICA o que dispongan de los servicios específicos mencionados en los CVE.
4. Revisar con especial prioridad las instancias de NetScaler Console cuya dirección IP sea accesible por sistemas no confiables, debido a la posibilidad de omitir la autenticación descrita en CVE-2026-120869.
5. Planificar y ejecutar las actualizaciones siguiendo el orden indicado por Citrix: primero NetScaler ADC y NetScaler Gateway, y después NetScaler Console.