Citrix corrige una falla SAML crítica de NetScaler que puede llevar a la ejecución de código

Citrix ha publicado un boletín de seguridad sobre CVE-2026-107406, una vulnerabilidad en NetScaler ADC y NetScaler Gateway. El boletín la describe como un desbordamiento de memoria que puede llevar a la ejecución remota de código o a una denegación de servicio, la clasifica como CWE-119, una categoría de debilidades de búferes de memoria, y le asigna una puntuación base CVSS v4.0 de 9,5. El boletín solo abarca los appliances que los clientes gestionan por sí mismos; Cloud Software Group, la empresa detrás de Citrix, afirma que aplica las actualizaciones a los servicios en la nube y a Adaptive Authentication que Citrix gestiona por su cuenta.

Un appliance solo está expuesto cuando actúa como proveedor de servicios (SP) SAML o proveedor de identidad (IdP) SAML, y el rol relevante depende del build. En los builds anteriores a 14.1-73.37 y 13.1-64.23, y en los builds FIPS anteriores a 14.1-73.37 FIPS y 13.1-37.279, ambos roles están afectados. En los builds más recientes 14.1-73.37 a 14.1-73.41 (incluidos los equivalentes 14.1-FIPS), 13.1-64.23 a 13.1-64.28 y los builds 13.1-FIPS/NDcPP 13.1-37.279 a 13.1-37.282, solo es vulnerable el rol de proveedor de identidad, según Citrix.

Citrix enumera estas versiones corregidas: 14.1-73.46 o posterior para la rama 14.1, 13.1-64.29 o posterior dentro de 13.1, 14.1-73.46 FIPS o posterior para 14.1-FIPS y 13.1.37.283 o posterior para las ediciones 13.1-FIPS y 13.1-NDcPP. Las instancias de NetScaler que forman parte de despliegues de Secure Private Access Hybrid también están afectadas y necesitan la misma actualización. Para saber si un dispositivo usa alguno de los dos roles SAML, Citrix indica que los administradores pueden buscar en su configuración entradas que coincidan con add authentication samlAction (proveedor de servicios) o add authentication samlIdPProfile (proveedor de identidad).

Sobre la explotación, Citrix afirmó en un comunicado citado por BleepingComputer: «A la fecha de publicación del boletín, Citrix no tiene constancia de ningún exploit no mitigado de esta vulnerabilidad». The Register señala que Citrix no dijo si la falla se había usado como zero-day antes de su divulgación. El boletín atribuye el hallazgo a investigadores del XOR Team de JPMorgan Chase. BleepingComputer informa de que Shadowserver rastrea más de 21.000 direcciones IP con huellas de NetScaler en internet, casi 20.000 de ellas appliances ADC y algo más de 1.500 instancias Gateway, pero no se sabe cuántas son honeypots, ya están parcheadas o están configuradas de forma vulnerable.

La corrección llega tras varias fallas de NetScaler que los atacantes han aprovechado este año. A principios de este mes, Citrix publicó actualizaciones de emergencia para CVE-2026-88779, un zero-day de denegación de servicio que, según The Register, tiene una puntuación de 8,7 y que, de acuerdo con BleepingComputer, investigadores y administradores dijeron después que también permitía la ejecución de código. Según The Register, esa falla y la nueva implican desbordamientos de memoria en configuraciones SAML. En septiembre, Citrix corrigió dos zero-days explotados, CVE-2026-88771 y CVE-2026-88772; investigadores de Google dijeron que una campaña que abusaba de CVE-2026-88772 estaba activa al menos desde principios de septiembre. BleepingComputer añade que desde noviembre de 2021 CISA ha catalogado 27 vulnerabilidades de Citrix como explotadas activamente, siete de ellas en ataques de ransomware.