NetScaler ADC y Gateway: distinguir las correcciones de septiembre y octubre antes de la recuperación

Qué es

Estado al 25 de octubre de 2026. Esta comparación utiliza la revisión de CTX697096 del 27 de septiembre de 2026 y la de CTX697174 del 3 de octubre de 2026. Volver a consultar ambos boletines, las rutas de actualización admitidas y la lógica actual de detección de indicadores antes de actuar.

Citrix confirma la explotación de CVE-2026-88771, un fallo de ejecución de comandos sin autenticación que no requiere tener habilitada una función concreta, y de CVE-2026-88772, un desbordamiento de memoria que afecta a los despliegues con DTLS habilitado. DTLS está habilitado de forma predeterminada en los servidores virtuales VPN. Por separado, CVE-2026-88779 afecta a la disponibilidad de los dispositivos configurados como proveedor de servicios o proveedor de identidad SAML mediante una denegación de servicio; CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas el 4 de octubre de 2026. Boletín de septiembre, boletín de octubre.

Por qué importa

Los dos boletines establecen distintas versiones mínimas corregidas. Un despliegue puede cumplir el boletín anterior y seguir afectado por el problema posterior de SAML. Ambos se refieren a dispositivos administrados por el cliente; el proveedor se encarga de sus servicios administrados en la nube. Las comprobaciones de funciones determinan la aplicabilidad, mientras que la investigación del posible compromiso determina si la recuperación debe ir más allá de la actualización.

Cómo aplicarlo

• Registrar la compilación en ejecución de cada nodo e inspeccionar su configuración, utilizando show ns runningConfig cuando corresponda. Comprobar los ajustes de DTLS y la configuración como proveedor de servicios o de identidad SAML. No suponer que desactivar DTLS elimina la exposición al fallo que no requiere una función concreta.
• Contrastar la rama instalada con la tabla de compilaciones corregidas del proveedor. Dentro de cada rama, las versiones inferiores al umbral indicado están afectadas, sujetas a los requisitos de funciones pertinentes. Utilizar la versión corregida que corresponda o una versión posterior con soporte de la misma rama.

Rama	Corrección de CVE-2026-88771/88772	Corrección de CVE-2026-88779
ADC/Gateway 14.1	14.1-73.37	14.1-73.41
ADC/Gateway 13.1	13.1-64.23	13.1-64.28
ADC 14.1-FIPS	14.1-73.37 FIPS	14.1-73.41 FIPS
ADC 13.1-FIPS/NDcPP	13.1-37.279	13.1-37.282

El boletín anterior también escribe la última compilación como 13.1.37.279; confirmar la nomenclatura del paquete en el portal de descargas. Tablas de compilaciones, tabla de compilaciones de SAML.

• Antes de la recuperación, conservar la configuración, los registros, los ajustes de hora y un paquete de diagnóstico para soporte; coordinar cualquier captura de memoria con el equipo de respuesta, ya que el volcado documentado de Packet Engine provoca un reinicio en caliente. Si se sospecha un compromiso, aislar el dispositivo e investigar los sistemas de autenticación y administración conectados. Procedimiento de recuperación.
• Ejecutar el análisis disponible en NetScaler Console desde Security Advisory, cumpliendo su requisito previo de telemetría. Investigar los resultados Potentially Compromised. Failed to Execute y Skipped no son resultados negativos de detección. Conservar el historial de análisis y la revisión de la lógica de detección; el proveedor advierte de que los indicadores no pueden detectar todos los compromisos. Documentación de la consola.
• Tratar la terminación de sesiones como una decisión de contención del incidente posterior a la recopilación de pruebas y a la actualización de todos los nodos. kill aaa session -all desconecta las sesiones AAA-TM/VPN activas; show aaa session muestra las conexiones para su revisión posterior. Coordinar la interrupción para los usuarios y abordar por separado los demás tipos de sesión. Estos comandos no son un requisito universal posterior a la actualización en los dos boletines. Referencia de comandos.
• Si se sospecha un compromiso, seguir el procedimiento de borrado o sustitución específico de la plataforma, instalar el firmware corregido y restaurar una configuración verificada anterior al compromiso. Sustituir los secretos de servicio, las credenciales de usuario y los certificados expuestos; después, rotar las contraseñas locales restauradas y las claves de cifrado de claves. Verificar la configuración y las restricciones de administración; Citrix especifica una supervisión estrecha durante al menos 90 días después de la recuperación.

Trampas

Un parche, una desconexión de sesiones y un análisis de indicadores limpio responden a cuestiones distintas. Ninguno por sí solo demuestra que una intrusión anterior no haya dejado persistencia. Mantener los servicios de administración fuera de la Internet pública y conservar las pruebas necesarias para investigar cambios de configuración inesperados.