CVE-2026-88771 y CVE-2026-88772: Zero-Days Críticos de RCE en Citrix NetScaler Bajo Explotación Activa
CVE-2026-88771 y CVE-2026-88772 (CWE-20 / CWE-119)
Severity: CRÍTICA (CVSS 9.5)
Status: 27 de Septiembre de 2026 (Día Cero Activo, En CISA KEV)
Affected Systems: Citrix NetScaler ADC y NetScaler Gateway 14.1, 13.1, 13.0, 12.1
Fixed In: NetScaler 14.1-38.48, 13.1-58.32, 13.0-92.42
Citrix emitió el boletín de seguridad CTX697096 corrigiendo ocho vulnerabilidades en NetScaler ADC y Gateway. Dos de ellas—CVE-2026-88771 y CVE-2026-88772—son fallas críticas de ejecución remota de código (RCE) con puntaje CVSS 9.5 explotadas activamente en la naturaleza antes de ser reveladas. CISA las incorporó de inmediato a su catálogo KEV exigiendo parches antes del 30 de septiembre de 2026.
Mecánica de Vulnerabilidad y Vectores de Ataque
1. CVE-2026-88771: RCE por Validación de Entrada Inadecuada
Afecta a todas las instalaciones estándar de NetScaler sin requerir configuraciones especiales. La vulnerabilidad reside en el subsistema de procesamiento de peticiones HTTP en los planos de administración y datos. Un fallo en la normalización de rutas y delimitadores de encabezados multipart permite inyectar comandos de shell ejecutados con privilegios del proceso del motor web.
2. CVE-2026-88772: Desbordamiento de Memoria en Motor de Paquetes DTLS
El segundo día cero apunta al protocolo DTLS (Datagram Transport Layer Security) sobre UDP 443, habilitado de forma predeterminada en servidores virtuales VPN y proxies ICA. Durante el reensamblado de fragmentos de registros TLS, el motor de paquetes de NetScaler (nsppe) omite la verificación de límites en búferes:
/* Fallo conceptual en el desfragmentador DTLS */
void procesar_fragmento_dtls(dtls_record_t *rec, uint8_t *payload, size_t len) {
char stack_buf[512];
/* Omisión de verificación: rec->frag_offset + len supera el tamaño del búfer */
memcpy(stack_buf + rec->frag_offset, payload, len);
}
Los atacantes transmiten datagramas UDP manipulados con números de secuencia anómalos, corrompiendo la memoria heap y de pila de nsppe. Esto provoca la caída del proceso y permite secuestrar el flujo de ejecución para ejecutar código arbitrario.
Advertencia Forense: Preservar Evidencias Antes de Parchear
La actualización de firmware sobrescribe particiones y elimina archivos temporales, destruyendo los volcados de memoria del motor de paquetes y artefactos del atacante. Los equipos de seguridad DEBEN recolectar volcados y paquetes de soporte técnico antes de reiniciar o actualizar.
Comandos Forenses para NetScaler
# 1. Comprobar volcados de memoria recientes de nsppe
ls -lat /var/core/
ls -lat /var/crash/
# 2. Generar paquete completo de soporte técnico
/netscaler/tools/maketechsupport /var/tmp/colibrisec_bundle_forense.tar.gz
# 3. Detectar caídas del motor en los registros
grep -i "nsppe crashed" /var/log/messages*
Plan de Mitigación y Blindaje
- Aplicar Firmware Oficial: Actualizar a compilaciones 14.1-38.48, 13.1-58.32 o 13.0-92.42.
- Aislar la IP de Administración (NSIP): Restringir la interfaz de gestión en VLANs fuera de banda no accesibles desde internet.
Mitigación Temporal para CVE-2026-88772: Desactivar DTLS en gateways VPN si no es posible actualizar de inmediato:
set vpn vserver "Gateway_Externo" -dtls OFF
