Desbordamiento de memoria condicionado a SAML en NetScaler — CVE-2026-88779 en KEV (vencimiento el 7 de octubre)
Citrix reveló una falla de límites de búfer de memoria en NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix dice que observó ataques dirigidos contra implementaciones no mitigadas que pueden conducir a una denegación de servicio. La inclusión en KEV de CISA establece la explotación de la vulnerabilidad, y su descripción breve dice que la falla podría permitir una denegación de servicio. Ninguna de las dos fuentes confirma que las implementaciones afectadas hayan sido interrumpidas. CISA la añadió el 4 de octubre, con fecha límite federal del 7 de octubre. Junto con CVE-2026-88771 y CVE-2026-88772 (ambas añadidas el 27 de septiembre), es la tercera entrada KEV de NetScaler añadida en dos semanas, no la tercera histórica del producto (el catálogo ya incluye entradas anteriores, entre ellas CVE-2023-4966). Las firmas Global Deny List (v24 o posterior) son la mitigación interina, y la corrección está en 14.1-73.41 / 13.1-64.28 o posterior.
Este artículo fue traducido por máquina.
El 3 de octubre (hora del Pacífico), Citrix publicó CVE-2026-88779 para NetScaler ADC (anteriormente Citrix ADC) y NetScaler Gateway (anteriormente Citrix Gateway) en el boletín de seguridad CTX697174 y una explicación comunitaria. Se clasifica como CWE-119 (Restricción inadecuada de operaciones dentro de los límites de un búfer de memoria) con una puntuación base CVSS v4.0 de 8.7 (CNA: NetScaler). El problema afecta a implementaciones de NetScaler gestionadas por el cliente que utilizan autenticación SAML junto con la funcionalidad de Gateway o AAA. Las versiones afectadas son ADC y Gateway 14.1 anteriores a 14.1-73.41 y 13.1 anteriores a 13.1-64.28, ADC FIPS anterior a 14.1-73.41 FIPS, y ADC FIPS y NDcPP anteriores a 13.1-37.282 (Citrix CTX697174; NVD publicado el 4 de octubre de 2026). Citrix afirma haber observado ataques dirigidos contra implementaciones no mitigadas que pueden conducir a una denegación de servicio. La descripción breve del KEV de CISA dice que la falla podría permitir una denegación de servicio, y la inclusión establece la explotación de la vulnerabilidad. Ninguna de las dos fuentes confirma que las implementaciones afectadas hayan sido interrumpidas. El análisis de Citrix no ha identificado un impacto en la integridad de los datos del cliente.
CISA añadió la vulnerabilidad a su catálogo KEV el 4 de octubre, dando a las agencias civiles federales hasta el 7 de octubre para responder (BOD 26-04, tres días desde la inclusión). Las notas de KEV requieren aplicar las mitigaciones indicadas por el proveedor de acuerdo con BOD 26-04 y los Requisitos de Triaje Forense de CISA; el triaje forense está marcado como Sí y el uso conocido en campañas de ransomware es Desconocido (catálogo CISA KEV 2026.10.04, 1,734 entradas en total). Citrix propone una autocomprobación de configuración para las precondiciones: una implementación las cumple si está configurada como un SP de SAML (add authentication samlAction) o como un IdP de SAML (add authentication samlIdPProfile). Las firmas de Global Deny List proporcionadas por Citrix (v24 o posterior) están disponibles en 14.1-73.37 o posterior hasta antes de 14.1-73.41, y en 13.1-64.23 o posterior hasta antes de 13.1-64.28, con el parcheo virtual de NetScaler Console habilitado y una Versión Cifrada visible en show appfw signatures.
Análisis (separado de la información): las dos entradas de KEV añadidas el 27 de septiembre no están condicionadas a SAML. CTX697096 dice que CVE-2026-88771 (validación de entrada inadecuada que podría permitir a un atacante no autenticado ejecutar comandos arbitrarios) afecta a todas las implementaciones de NetScaler ADC y NetScaler Gateway, incluida la configuración predeterminada, sin que se requiera ninguna función adicional. CTX697096 dice que CVE-2026-88772 (un desbordamiento de memoria que puede conducir a ejecución remota de código o denegación de servicio) requiere DTLS, que está habilitado de forma predeterminada en un VPN vServer. Junto con CVE-2026-88779, añadida el 4 de octubre, son tres entradas KEV de NetScaler añadidas en dos semanas. El catálogo ya contiene entradas anteriores de NetScaler, incluida CVE-2023-4966 (añadida el 18 de octubre de 2023), así que no es la tercera entrada histórica del producto. Citrix no dice si estas tres comparten una causa raíz. Los servicios en la nube gestionados por Citrix quedan fuera del boletín para implementaciones gestionadas por el cliente.
Implicaciones para los defensores: (1) si su entorno tiene configuración de SP o IdP de SAML, verifique inmediatamente la versión desplegada contra CTX697174 y actualice 14.1 a 14.1-73.41 o posterior, 13.1 a 13.1-64.28 o posterior, y FIPS / NDcPP a 14.1-73.41 FIPS / 13.1-37.282 o posterior; los entornos que ya se actualizaron para CTX697096 (el boletín de CVE-2026-88771 a CVE-2026-88778) aún necesitan otra actualización si cumplen las precondiciones. (2) Como mitigación interina hasta la actualización, aplique las firmas Global Deny List (v24 o posterior) y compruebe los contadores con stat denylist global AAA_REQUEST. El procedimiento de verificación de Citrix dice que un valor mayor que cero indica que las reglas están funcionando. (3) Las notas de KEV marcan forensicTriage como Yes y exigen triaje forense conforme a BOD 26-04. Para esta vulnerabilidad, la precondición de CTX697174 es un SAML SP (add authentication samlAction) o un SAML IdP (add authentication samlIdPProfile). CVE-2026-88771 y CVE-2026-88772 tienen precondiciones distintas en CTX697096.