CVE-2026-88771: ejecución remota sin autenticación

CVE-2026-88771 es una vulnerabilidad de validación incorrecta de
entradas que permite a un atacante remoto y no autenticado ejecutar
comandos arbitrarios en un dispositivo NetScaler.

Según el boletín oficial, la falla afecta a todas las implementaciones
vulnerables de NetScaler ADC y NetScaler Gateway, incluida la
configuración predeterminada. No es necesario activar una función
adicional para quedar expuesto.

Esta condición la convierte en la vulnerabilidad de mayor riesgo del
grupo. Los dispositivos NetScaler suelen estar conectados directamente
a internet y controlan el acceso hacia aplicaciones y servicios
internos. Su compromiso puede entregar al atacante una posición
privilegiada en el perímetro de la organización.

CVE-2026-88772: desbordamiento de memoria y posible RCE

CVE-2026-88772 es una vulnerabilidad de desbordamiento de memoria que
puede provocar ejecución remota de código o una denegación de servicio.
Para explotarla, DTLS debe estar habilitado en el dispositivo.

Esta condición resulta especialmente relevante porque DTLS está
activado de manera predeterminada en los servidores virtuales VPN. Por
lo tanto, una cantidad significativa de implementaciones podría cumplir
el requisito necesario para ser vulnerable.

Un ataque exitoso puede afectar la confidencialidad, integridad y
disponibilidad del sistema. También podría interrumpir servicios VPN,
acceso remoto, autenticación o balanceo de carga esenciales para la
operación de la organización.

Ocho vulnerabilidades corregidas

El boletín de Citrix corrige ocho vulnerabilidades en total. Además de
las dos fallas explotadas, destaca
CVE-2026-88773, una vulnerabilidad crítica de HTTP
Request Smuggling con una puntuación CVSS v4.0 de 9,3.

Las demás vulnerabilidades pueden provocar evasión de políticas de
seguridad, denegaciones de servicio, comportamiento impredecible y
problemas asociados con la generación de números de secuencia TCP.

Aunque no existe confirmación pública de explotación para todas ellas,
deben corregirse como parte de la misma actualización.

Versiones afectadas

Las siguientes versiones soportadas están afectadas:

• NetScaler ADC y NetScaler Gateway 14.1 anteriores a
  14.1-73.37.
• NetScaler ADC y NetScaler Gateway 13.1 anteriores a
  13.1-64.23.
• NetScaler ADC FIPS 14.1 anterior a
  14.1-73.37 FIPS.
• NetScaler ADC FIPS y NDcPP 13.1 anteriores a
  13.1-37.279.

Las implementaciones híbridas de Secure Private Access que utilizan
instancias NetScaler también están afectadas y requieren la
actualización de dichas instancias.

El boletín se aplica a sistemas administrados por los clientes.
Citrix indicó que sus servicios cloud administrados y Citrix Managed
Adaptive Authentication recibirán las actualizaciones directamente
de Cloud Software Group.

Actualizar no elimina una intrusión anterior

Aplicar la versión corregida bloquea la explotación futura de estas
vulnerabilidades, pero no expulsa automáticamente a un atacante que ya
haya obtenido acceso. Tampoco elimina mecanismos de persistencia
instalados antes de la actualización.

Por esta razón, el NCSC de Países Bajos recomienda preservar los
registros y una copia de la memoria antes de actualizar los equipos
que estuvieron expuestos. Siempre que sea operacionalmente posible,
también deberían conservarse al menos treinta días de registros para
facilitar el análisis forense.

La recopilación debe realizarse rápidamente y sin convertirse en una
razón para retrasar innecesariamente la instalación de la actualización.

Señales que requieren investigación

Los equipos de seguridad deberían revisar accesos administrativos
desconocidos, comandos inesperados, cambios de configuración,
modificaciones de cuentas, procesos anómalos, archivos recientemente
creados y conexiones hacia infraestructura externa no reconocida.

También es recomendable correlacionar los registros de NetScaler con
la telemetría de firewalls, sistemas de identidad, plataformas SIEM,
soluciones EDR y servicios internos publicados a través del dispositivo.

La ausencia de una alerta automática no demuestra que el sistema no
haya sido comprometido. Los dispositivos perimetrales pueden ofrecer
visibilidad limitada y los atacantes pueden intentar eliminar sus
rastros.

Recomendaciones de XPoint

1. Inventariar todas las instancias NetScaler.
   Incluir dispositivos físicos y virtuales, sistemas de respaldo,
   ambientes de contingencia y despliegues híbridos.
2. Confirmar la versión instalada.
   No asumir que una actualización automática o un proveedor externo
   ya corrigieron los sistemas administrados por la organización.
3. Preservar evidencia.
   Capturar los registros relevantes y, cuando sea posible, una imagen
   de memoria antes de modificar un dispositivo previamente expuesto.
4. Actualizar inmediatamente.
   Instalar la compilación corregida correspondiente a cada rama,
   siguiendo las instrucciones oficiales de Citrix.
5. Considerar los equipos expuestos como potencialmente
   comprometidos.
   Realizar una revisión forense si un dispositivo vulnerable estuvo
   accesible desde internet.
6. Revisar identidades y sesiones.
   Investigar accesos administrativos, sesiones VPN, cuentas nuevas,
   privilegios modificados y autenticaciones fuera de patrón.
7. Rotar secretos cuando existan indicios de intrusión.
   Incluir credenciales administrativas, certificados, claves API,
   tokens y cuentas conectadas con sistemas internos.
8. Buscar persistencia.
   Examinar archivos, procesos, tareas, conexiones y cambios de
   configuración que no correspondan a la operación normal.
9. Supervisar después de la actualización.
   Mantener vigilancia reforzada sobre NetScaler y los sistemas internos
   a los que este proporciona acceso.
10. Activar la respuesta a incidentes.
    Ante actividad sospechosa, aislar el dispositivo mediante un
    procedimiento controlado y ejecutar el plan de respuesta.

Conclusión

La explotación activa de CVE-2026-88771 y CVE-2026-88772 representa
un riesgo elevado porque afecta dispositivos situados en el perímetro
de la red. La combinación de acceso remoto, ausencia de autenticación
y capacidad de ejecución de comandos puede transformar una
vulnerabilidad técnica en el compromiso de una puerta de entrada
corporativa.

La respuesta no debe limitarse a instalar el parche. Las organizaciones
necesitan preservar evidencia, investigar actividad anterior,
actualizar todas sus instancias y mantener una supervisión reforzada
después de aplicar la corrección.

CVE-2026-88771: unauthenticated remote command execution

CVE-2026-88771 is an improper input validation vulnerability that
allows a remote, unauthenticated attacker to execute arbitrary commands
on a NetScaler appliance.

According to Citrix, the vulnerability affects every vulnerable
NetScaler ADC and NetScaler Gateway deployment, including default
configurations. No additional feature or setting must be enabled for
the appliance to be exposed.

This makes CVE-2026-88771 the most dangerous vulnerability in the
group. NetScaler appliances are frequently exposed to the internet
and control access to internal applications and services. Compromising
one can give an attacker a privileged position at the organization’s
network boundary.

CVE-2026-88772: memory overflow and possible RCE

CVE-2026-88772 is a memory overflow vulnerability that can lead to
remote code execution or denial of service. Exploitation requires DTLS
to be enabled on the appliance.

This condition is significant because DTLS is enabled by default on
VPN virtual servers. A considerable number of deployed gateways may
therefore meet the vulnerability’s prerequisite.

Successful exploitation can affect the confidentiality, integrity and
availability of the system. It may also interrupt VPN, remote access,
authentication or load-balancing services that are essential to
business operations.

Eight vulnerabilities addressed

Citrix’s bulletin addresses eight vulnerabilities in total. In
addition to the two actively exploited flaws, it includes
CVE-2026-88773, a critical HTTP Request Smuggling
vulnerability with a CVSS v4.0 score of 9.3.

The remaining issues can cause security-policy bypasses, denial of
service, unpredictable behavior and weaknesses involving TCP initial
sequence numbers.

Although active exploitation has not been publicly confirmed for every
vulnerability, all of them should be addressed through the update.

Affected versions

The following supported versions are affected:

• NetScaler ADC and NetScaler Gateway 14.1 before
  14.1-73.37.
• NetScaler ADC and NetScaler Gateway 13.1 before
  13.1-64.23.
• NetScaler ADC FIPS 14.1 before
  14.1-73.37 FIPS.
• NetScaler ADC FIPS and NDcPP 13.1 before
  13.1-37.279.

Secure Private Access Hybrid deployments using NetScaler instances are
also affected and require those instances to be upgraded.

The bulletin applies to customer-managed appliances. Citrix says that
Cloud Software Group is updating Citrix-managed cloud services and
Citrix Managed Adaptive Authentication.

Installing the update does not remove an earlier compromise

Installing a corrected build prevents new exploitation through these
vulnerabilities. It does not automatically remove an attacker who
previously gained access or eradicate persistence established before
the upgrade.

The Dutch National Cyber Security Centre recommends preserving
relevant logs and a memory dump before upgrading systems that were
previously exposed. Where operationally possible, organizations
should retain at least one month of logs for forensic review.

Evidence collection should be performed quickly and should not become
a reason to delay remediation unnecessarily.

Activity that warrants investigation

Security teams should investigate unknown administrative access,
unexpected commands, configuration changes, modified accounts,
anomalous processes, recently created files and connections to
unfamiliar external infrastructure.

NetScaler evidence should also be correlated with firewall, identity,
SIEM, EDR and internal-service telemetry.

The absence of an automated alert does not prove that an appliance was
not compromised. Perimeter devices can provide limited visibility,
and attackers may attempt to remove evidence of their activity.

XPoint recommendations

1. Inventory every NetScaler instance.
   Include physical and virtual appliances, standby systems, disaster
   recovery environments and hybrid deployments.
2. Confirm the installed version.
   Do not assume that automatic updates or an external provider have
   already remediated customer-managed systems.
3. Preserve evidence.
   Collect relevant logs and, where possible, a memory image before
   modifying a previously exposed appliance.
4. Upgrade immediately.
   Install the corrected build for each product branch by following
   Citrix’s official instructions.
5. Treat exposed appliances as potentially compromised.
   Conduct a forensic review when a vulnerable device was reachable
   from the internet.
6. Review identities and sessions.
   Investigate administrative access, VPN sessions, new accounts,
   modified privileges and unusual authentication activity.
7. Rotate secrets when compromise is suspected.
   Include administrative credentials, certificates, API keys, tokens
   and accounts connected to internal systems.
8. Hunt for persistence.
   Review configuration changes, scheduled tasks, files, processes and
   connections that do not match normal operations.
9. Monitor after remediation.
   Maintain enhanced surveillance of the appliance and the internal
   systems it can access.
10. Activate incident response.
    If suspicious activity is found, isolate the appliance through a
    controlled procedure and execute the incident response plan.

Conclusion

Active exploitation of CVE-2026-88771 and CVE-2026-88772 represents a
serious risk because it targets devices positioned at the network
perimeter. Remote access, lack of authentication and command-execution
capability can turn a software vulnerability into the compromise of a
corporate access gateway.

The response must extend beyond installing the patch. Organizations
should preserve evidence, investigate earlier activity, upgrade every
instance and maintain enhanced monitoring after remediation.