Ir al contenido
Centoculus
es

Alerta de seguridad · Crítica

Citrix NetScaler ADC y Gateway: fallos críticos de memoria permiten denegación de servicio (CVE-2026-120868)

· 4 minutos de lectura · Centoculus Security Team

Conocida desde el

Afectados: NetScaler ADC y NetScaler Gateway anteriores a 14.1-73.57 y 13.1-64.39; NetScaler ADC 14.1-FIPS anterior a 14.1-73.58; 13.1-FIPS/13.1-NDcPP anterior a 13.1-37.293

Qué ocurrió

El 13 de noviembre de 2026, Citrix publicó actualizaciones de seguridad para NetScaler ADC y NetScaler Gateway (aviso CTX697305). La vulnerabilidad más relevante en general es CVE-2026-120868 (CVSS 9.3). Se trata de un desbordamiento de memoria en el procesamiento de paquetes que puede provocar un comportamiento impredecible o erróneo, o una denegación de servicio (DoS). Según el aviso, afecta a todas las implementaciones de NetScaler ADC y NetScaler Gateway, independientemente de su configuración.

La misma versión corrige otros ocho fallos críticos de memoria. Cada uno de ellos solo es relevante si se ha configurado una determinada función:

  • CVE-2026-107407 (CVSS 9.3): desbordamiento de memoria en el tráfico SMPP. Afecta a los servidores virtuales de equilibrio de carga o de conmutación de contenido de tipo SMPP.
  • CVE-2026-107408 (CVSS 9.3): corrupción de memoria en DNS / DNS sobre HTTPS. Afecta a los dispositivos configurados para el equilibrio de carga DNS y la resolución DNS recursiva.
  • CVE-2026-107409 (CVSS 9.3): corrupción de memoria en DNS sobre HTTPS. Afecta al equilibrio de carga DNS sobre HTTPS.
  • CVE-2026-107410 (CVSS 9.3): desbordamiento de memoria en NetScaler Push. Afecta a los servidores virtuales de equilibrio de carga de tipo PUSH.
  • CVE-2026-107412 (CVSS 9.5): múltiples desbordamientos de memoria. Afecta a los dispositivos configurados como servidor virtual Gateway o AAA.
  • CVE-2026-107415 (CVSS 9.3): desbordamiento de memoria en la autenticación OTP por correo electrónico. Afecta a las configuraciones con una acción de correo electrónico.
  • CVE-2026-111344 (CVSS 9.3): desbordamiento de memoria en Endpoint Analysis (EPA/EPAS). Afecta a los servidores virtuales VPN o AAA que utilizan Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): desbordamiento de memoria en el proxy ICA. Afecta a los servidores virtuales Gateway VPN, AAA o CR (de tipo HDX).

Todas ellas pueden provocar un comportamiento impredecible o una denegación de servicio. En el momento de la publicación, Citrix indicó que no tenía conocimiento de explotaciones activas de estas vulnerabilidades. CISA no las incluye como explotadas.

El mismo día, Citrix también corrigió tres fallos en otros productos, cada uno en su propio aviso:

  • CVE-2026-120869 (CVSS 9.4): omisión de autenticación en NetScaler Console. Corregida en 14.1-74.34 y versiones posteriores.
  • CVE-2026-118268: escalada de privilegios a SYSTEM en Secure Access Client para Windows. Corregida en 26.11.1.6 y versiones posteriores.
  • CVE-2026-118269: escalada de privilegios a root en Secure Access Client para Linux. Corregida en 26.10.4 y versiones posteriores.

Quién está afectado

Está afectado por CVE-2026-120868 si ejecuta NetScaler ADC o NetScaler Gateway anteriores a estas versiones corregidas:

  • NetScaler ADC y NetScaler Gateway 14.1: corregido en 14.1-73.57 y versiones posteriores
  • NetScaler ADC y NetScaler Gateway 13.1: corregido en 13.1-64.39 y versiones posteriores de 13.1
  • NetScaler ADC 14.1-FIPS: corregido en 14.1-73.58 FIPS y versiones posteriores de 14.1-FIPS
  • NetScaler ADC 13.1-FIPS y 13.1-NDcPP: corregido en 13.1-37.293 y versiones posteriores de 13.1-FIPS y 13.1-NDcPP

Los otros ocho fallos de NetScaler ADC y Gateway solo se aplican si está configurada la función indicada junto a cada uno de ellos. CVE-2026-120868 no depende de la configuración, por lo que cada dispositivo por debajo de las versiones corregidas necesita la actualización.

Los sistemas que no ejecutan NetScaler no están afectados: los servidores web, de correo o los paneles de alojamiento habituales. Si solo utiliza NetScaler Console o Secure Access Client, consulte los avisos independientes de Citrix para esos productos.

Qué hacer ahora

  1. Enumere todas las instancias de NetScaler ADC y NetScaler Gateway, incluidos los pares de alta disponibilidad, las instancias VPX en la nube y los dispositivos que gestiona para clientes.
  2. Haga una copia de seguridad de la configuración de cada instancia (ns.conf) antes de actualizar.
  3. Actualice a 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS o 13.1-37.293 (FIPS/NDcPP), o a una versión posterior de su rama. En los pares de alta disponibilidad, actualice primero el nodo secundario, realice una conmutación por error y, después, actualice el antiguo nodo primario.
  4. Tras el reinicio, compruebe que los servidores virtuales están activos y que los inicios de sesión de Gateway, VPN y autenticación funcionan.
  5. Si utiliza NetScaler Console, actualícela a 14.1-74.34 o posterior. Actualice las instalaciones de Secure Access Client en Windows (26.11.1.6) y Linux (26.10.4).
  6. Si no puede actualizar de inmediato, limite el acceso a las interfaces de gestión a redes de confianza y vigile los dispositivos por si se producen reinicios o caídas inesperados hasta que se instale la actualización.

Cómo comprobar si está afectado

Compruebe la compilación instalada en la interfaz de gestión gráfica o con el comando de CLI show ns version. Si la compilación es inferior a la versión corregida de su rama, el dispositivo es vulnerable a CVE-2026-120868. Para saber si también se aplican los otros fallos, compare su configuración con las condiciones anteriores, por ejemplo servidores virtuales SMPP o PUSH, equilibrio de carga DNS, servidores virtuales Gateway/AAA, OTP por correo electrónico, Endpoint Analysis o proxy ICA. El aviso CTX697305 de Citrix contiene todos los detalles.

Fuentes

Otras fuentes (2)

Si administras firewalls o pasarelas VPN, comprueba también

Otros artículos