Citrix ha publicado actualizaciones para corregir la vulnerabilidad crítica CVE-2026-107406 en los productos NetScaler ADC y NetScaler Gateway, que bajo determinadas configuraciones SAML puede llevar a ejecución remota de código o a una condición de denegación de servicio; se ven amenazadas las organizaciones que utilizan NetScaler como proveedor de servicio SAML o consumidor de identidad, incluidas las implementaciones híbridas de Secure Private Access, y deben actualizar con urgencia las instancias vulnerables a las versiones corregidas, pese a que por ahora no haya explotación confirmada.
Detalles técnicos de la vulnerabilidad y configuraciones afectadas
Según el boletín de Citrix CTX697191 con la descripción de la vulnerabilidad, CVE-2026-107406 representa un desbordamiento de memoria, que puede utilizarse para:
- ejecución remota de código arbitrario (RCE);
- dejar fuera de servicio el dispositivo (DoS).
A la vulnerabilidad se le ha asignado una puntuación de CVSS 9.5 de 10, lo que la sitúa en la categoría de críticas. En el momento de la publicación de la información, Citrix no había registrado casos de explotación de la vulnerabilidad «en la naturaleza». El proveedor indica que un ataque exitoso solo es posible bajo determinadas configuraciones relacionadas con la autenticación SAML:
- si NetScaler está configurado como SAML service provider (SP), en la configuración aparecen líneas del tipo add authentication samlAction;
- si NetScaler está configurado como SAML identity provider (IdP), en la configuración aparecen líneas del tipo add authentication samlIdPProfile.
Versiones afectadas cuando actúa como SAML IdP
Cuando el dispositivo se utiliza como SAML IdP, la vulnerabilidad afecta a las siguientes ramas de versiones:
- NetScaler ADC y NetScaler Gateway:
- desde la 14.1-73.37 hasta la 14.1-73.41 inclusive;
- desde la 13.1-64.23 hasta la 13.1-64.28 inclusive.
- NetScaler ADC 14.1-FIPS:
- desde la 14.1-73.37 FIPS hasta la 14.1-73.41 FIPS inclusive.
- NetScaler ADC 13.1-FIPS:
- desde la 13.1-NDcPP 13.1-37.279 hasta la 13.1-37.282 inclusive.
Versiones afectadas cuando actúa como SAML SP o IdP
Si NetScaler se utiliza como SAML SP o IdP, son vulnerables todos los lanzamientos anteriores de las siguientes ramas:
- NetScaler ADC y NetScaler Gateway:
- todas las versiones anteriores a 14.1-73.37;
- todas las versiones anteriores a 13.1-64.23.
- NetScaler ADC 14.1-FIPS:
- todas las versiones anteriores a 14.1-73.37 FIPS.
- NetScaler ADC 13.1-FIPS:
- todas las versiones anteriores a 13.1-NDcPP 13.1-37.279.
La vulnerabilidad se ha corregido en las siguientes versiones, que Citrix recomienda como nivel objetivo seguro:
- NetScaler ADC y NetScaler Gateway:
- 14.1-73.46 y posteriores;
- 13.1-64.29 y lanzamientos posteriores de la rama 13.1.
- NetScaler ADC 14.1-FIPS:
- 14.1-73.46 FIPS y lanzamientos más recientes.
- NetScaler ADC 13.1-FIPS y 13.1-NDcPP:
- 13.1-37.283 y versiones posteriores de estas líneas.
Se podrán consultar detalles adicionales sobre la evaluación CVSS y las características de la vulnerabilidad en el registro de NVD para CVE-2026-107406 (en cuanto se publique).
Contexto de la amenaza: serie de ataques contra NetScaler
La corrección de CVE-2026-107406 aparece en un contexto en el que otras tres vulnerabilidades en NetScaler ADC y NetScaler Gateway — CVE-2026-88771, CVE-2026-88772 y CVE-2026-88779 — ya están siendo explotadas activamente. Sobre ellas también aparecerán o ya están disponibles los registros en NVD en las direcciones:
- CVE-2026-88771
- CVE-2026-88772
- CVE-2026-88779
Esto crea un contexto desfavorable para cualquier nueva vulnerabilidad en NetScaler: incluso si concretamente CVE-2026-107406 todavía no se utiliza en ataques, la existencia de otros fallos activamente explotados en el mismo producto incrementa drásticamente la motivación de los atacantes para desarrollar rápidamente exploits también para ella. De hecho, cada dispositivo no actualizado se convierte en un objetivo múltiples veces más atractivo.
Citrix subraya por separado que también son vulnerables las implementaciones Secure Private Access Hybrid en las que se utilizan instancias de NetScaler: la compañía ha publicado recomendaciones sobre los pasos inmediatos en una nota en el portal de la comunidad con una guía práctica sobre CVE-2026-107406.
Evaluación del impacto en el negocio y la infraestructura
Corren el mayor riesgo las organizaciones en las que NetScaler desempeña las funciones de:
- punto central de acceso remoto a las aplicaciones internas;
- proveedor SAML o consumidor de identidad para sistemas de negocio críticos;
- nodo en una arquitectura híbrida de Secure Private Access.
Un desbordamiento de memoria con posibilidad de RCE en un componente de este tipo significa que un atacante puede potencialmente:
- obtener control sobre el dispositivo en el perímetro de red;
- suplantar o interceptar sesiones de autenticación;
- utilizar NetScaler como punto de apoyo para una penetración posterior en la red interna;
- interrumpir la disponibilidad del acceso remoto y de las aplicaciones web internas mediante un efecto de DoS.
Aunque el alcance del ataque se limite a una denegación de servicio, las consecuencias serán notables: interrupción del acceso remoto, fallos de turnos, indisponibilidad de portales internos, retrasos en la tramitación de operaciones de clientes. En caso de un RCE exitoso es posible la filtración de credenciales y datos de sesión, lo que ya conlleva riesgos de acceso no autorizado a los sistemas que utilizan autenticación SAML.
Recomendaciones prácticas de protección
1. Priorización inmediata de las actualizaciones
- Identifique todas las instancias de NetScaler ADC / NetScaler Gateway accesibles desde internet o utilizadas en segmentos internos críticos.
- Compare sus versiones con la lista de lanzamientos vulnerables y corregidos del boletín Citrix CTX697191.
- Si existen configuraciones SAML (líneas add authentication samlAction o add authentication samlIdPProfile en la configuración), considere dichas instancias como prioridad de nivel «crítico».
- Actualícelas como mínimo a:
- 14.1-73.46 o posteriores para la rama 14.1;
- 13.1-64.29 o posteriores para la rama 13.1;
- 14.1-73.46 FIPS o bien 13.1-37.283 y superiores para las variantes FIPS/NdcPP.
2. Secure Private Access Hybrid
- Si se utiliza Secure Private Access Hybrid, inventaríe todos los nodos NetScaler implicados.
- Compruebe sus versiones y funciones (SAML IdP/SP) y actualícelos a los lanzamientos recomendados de acuerdo con la guía de Citrix en el portal de la comunidad sobre la reducción de riesgos de CVE-2026-107406.
3. Reducción temporal de la superficie de ataque
Si no es posible actualizar de forma inmediata (por ejemplo, debido a procedimientos de prueba complejos), tiene sentido considerar medidas temporales:
- traslado a un clúster actualizado de aquellos servidores virtuales en los que se utiliza autenticación SAML;
- desactivación de perfiles SAML no críticos o de servidores virtuales con SAML allí donde lo permitan los requisitos del negocio;
- restricción del acceso directo a las interfaces administrativas de NetScaler únicamente a direcciones internas/ventanas de mantenimiento.
4. Monitorización y respuesta
- Refuerce la monitorización de los registros de NetScaler en busca de anomalías de autenticación, fallos de procesos y aumentos bruscos de errores.
- Correlacione la actividad sospechosa con indicadores conocidos de ataques contra otras CVE en NetScaler (CVE-2026-88771, CVE-2026-88772, CVE-2026-88779), usando datos de NVD e informes del sector.
- Prepare escenarios de reversión y un plan de continuidad de negocio para el caso de que sea necesario un reinicio de emergencia o la retirada temporal del dispositivo.
La conclusión clave para los operadores de Citrix NetScaler es la siguiente: si en su infraestructura se utilizan configuraciones SAML o implementaciones híbridas de Secure Private Access, es necesario actualizar en la próxima ventana de mantenimiento todos los NetScaler ADC y NetScaler Gateway implicados a versiones no inferiores a 14.1-73.46 o 13.1-64.29 (y para FIPS/NdcPP, hasta 13.1-37.283), tras inventariar previamente las configuraciones SAML según las líneas de configuración indicadas y reforzar la monitorización durante el periodo previo y posterior a la actualización.
