NetScaler: 28 vulnerabilidades y un fallo sin escapatoria

NetScaler y sus 28 vulnerabilidades nuevas ya tienen parche, y una de ellas alcanza a cualquier equipo, también al que salió de fábrica sin que nadie tocara un solo ajuste. No pide usuario, no pide contraseña y no necesita ninguna función activada: basta con llegar al aparato por la red.

Cloud Software Group, la casa de Citrix, publicó el boletín CTX697305 el miércoles 12 de noviembre con 28 fallos de seguridad de memoria en NetScaler ADC y NetScaler Gateway. Nueve llevan nota de 9,0 o más en la escala CVSS 4.0. El boletín cubre los equipos que administra cada cliente; los servicios en la nube de la compañía recibieron la corrección por su cuenta.

NetScaler ADC reparte el tráfico entre los servidores de una empresa y NetScaler Gateway abre la puerta de acceso remoto: por esa puerta entran los empleados a los escritorios y a las aplicaciones internas. Son aparatos de borde, expuestos a internet por diseño, y un fallo en ellos no se queda en un rincón de la red. Toca la entrada principal.

La nota más alta del boletín, 9,5, corresponde a CVE-2026-107412: varios desbordamientos de memoria alcanzables sin iniciar sesión en equipos configurados como Gateway, con VPN SSL, ICA Proxy, CVPN o RDP Proxy, o como servidor virtual AAA, el verificador de acceso. SecurityWeek repasó el boletín completo y resume el efecto de los fallos críticos como un comportamiento impredecible del equipo o una denegación de servicio, es decir, el aparato deja de responder.

El 9,3 que no pregunta cómo está configurado el equipo

CVE-2026-120868 lleva un 9,3 y vive en el procesamiento central de paquetes, por donde pasa todo el tráfico. Citrix lo marca como aplicable a todos los despliegues, incluida la configuración predeterminada, y no ofrece atajo ni ajuste que lo apague: la única salida que da el boletín es actualizar. Un equipo dedicado solo a repartir carga, sin VPN configurada en su vida, queda tan expuesto como la puerta de acceso remoto.

El detalle rompe la costumbre de los equipos que administran estas flotas. Los boletines de NetScaler traen una columna de precondiciones que dice qué función debe estar activa para que cada fallo aplique, y esa columna decide qué aparatos esperan y cuáles corren. ThreatAft desarmó el boletín entrada por entrada y plantea la lectura correcta: la columna sirve para ordenar el trabajo, no para declarar a nadie a salvo, porque el 9,3 no trae precondición escrita.

Otras notas altas exigen una pieza concreta en marcha. Suben a 9,3 el tráfico SMPP, el DNS y el DNS sobre HTTPS, la autenticación por código en el correo, el análisis de terminales y el proxy ICA. Otro grupo queda en 8,7 y toca el inicio de sesión SAML, WebAuth, LDAP y los certificados de cliente. Un fallo de 6,9, CVE-2026-111338, escribe material sensible de autenticación en el registro /var/log/httperror.log, legible para quien ya tenga acceso local.

La consola de administración cae en otro boletín del mismo día. CVE-2026-120869, con nota 9,4, deja que un atacante sin credenciales salte los controles de NetScaler Console y llegue a recursos restringidos; la corrección está en la versión 14.1-74.34. Quien gestiona la flota desde esa consola tiene tarea antes de tocar los aparatos: primero se parchea la herramienta que manda sobre todos.

Parchear en octubre no alcanzó: la cita ahora es mensual

Las versiones corregidas son 14.1-73.57 y 13.1-64.39 en las ramas estándar, 14.1-73.58 en la rama FIPS de 14.1 y 13.1-37.293 en las ramas FIPS y NDcPP de 13.1. Quien actualizó en octubre con 14.1-73.49 o 13.1-64.32 queda bajo el piso nuevo y vuelve a estar expuesto. Es el quinto boletín de NetScaler desde finales de septiembre y el primero del programa mensual de seguridad que Citrix estrena, pegado al martes de parches de Microsoft.

CERT-EU, el equipo de respuesta a incidentes de las instituciones europeas, publicó su aviso 2026-020 con una orden de prioridad clara: primero los Gateway y los servidores AAA que miran a internet. El patrón se repite en los equipos de borde, y este mismo mes la VPN de SonicWall sumó un fallo que se saltaba la verificación en dos pasos, con la misma instrucción para los administradores: actualizar antes de que aparezca la explotación.

Parte del hallazgo lleva una firma nueva. Citrix agradeció los reportes de los equipos de seguridad ofensiva de JPMorgan Chase y Capital One y de la firma watchTowr, y contó que varios fallos los encontró su propio equipo con análisis de código asistido por inteligencia artificial. La herramienta que revisa el código viejo ya no es una persona con café: es un modelo, y está sacando errores de memoria que llevaban años durmiendo en el sistema.

Citrix declara que no conoce explotación de estas 28 vulnerabilidades y no circula ninguna prueba de concepto pública; ninguno aparece en el catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos. El antecedente inmediato pide no dormirse: en octubre la compañía corrigió dos fallos de día cero que ya estaban bajo ataque, y uno de ellos entró en ese mismo catálogo.

Fuera del boletín quedan las ramas 12.1 y 13.0, que no reciben corrección. Un NetScaler en esas versiones no se salva con este parche ni con el del mes próximo: su arreglo se llama migrar a la rama 14.1, y cada semana en la vieja suma exposición con el equipo encendido.

Fuente: SecurityWeek