Gobierno corporativo · 5 de octubre de 2026
El aparato que mira a la calle
El 27 de septiembre Citrix confirmó dos fallas en NetScaler que no pedían usuario ni contraseña. Varios administradores apagaron el equipo antes del lunes.
Por Rafael Núñez Aponte. Publicado el 5 de octubre de 2026.
Hay equipos que no están en el escritorio de nadie. Están en la puerta.
El 27 de septiembre Citrix publicó el boletín CTX697096. Ocho fallas en NetScaler ADC y NetScaler Gateway. Dos ya se usaban: CVE-2026-88771 y CVE-2026-88772. Las dos en 9,5.
Sin usuario y sin contraseña
La primera ejecuta comandos sin autenticación. Citrix indica que no pide una configuración especial: alcanza la instalación por defecto. La segunda es un desborde de memoria. Pide DTLS, y DTLS viene activo de fábrica en los servidores virtuales de VPN.
CISA las incorporó ese fin de semana al catálogo de vulnerabilidades explotadas. watchTowr reportó que la explotación venía de antes del parche. SecurityWeek recogió que varios administradores apagaron el equipo: el lunes ya era tarde. Network World citó la misma prisa.
El lunes será tarde no es una frase de folleto. Es lo que queda cuando el aparato que mira a la calle no tiene dueño un sábado.
Qué preguntar el lunes
- ¿Hay un NetScaler de cara a internet, y está por debajo de 14.1-73.37 o de 13.1-64.23?
- ¿Quién puede apagarlo un domingo sin pedir permiso el lunes?
- ¿Se evaluó si ya fue usado, o solo se puso el parche encima?
- ¿Ese aparato aparece en el mapa que ve la junta, o solo en el del proveedor?
Referencias
- Critical vulnerabilities in Citrix NetScaler ADC and Gateway, advisory 2026-014. CERT-EU. Consulta: 2026-10-05. El 27 de septiembre de 2026 Citrix publicó el boletín CTX697096. CVE-2026-88771 es ejecución remota sin autenticación, sin precondición. CVE-2026-88772 es desborde de memoria. Citrix confirmó explotación.
- Citrix confirms two NetScaler zero-days after admins pulled the plug. SecurityWeek. Consulta: 2026-10-05. Las dos fallas tienen CVSS 9,5. CISA las incorporó al catálogo de vulnerabilidades explotadas. Varios administradores sacaron de línea el equipo.
- NetScaler admins told to patch critical zero-days in ADC and Gateway now. Network World. Consulta: 2026-10-05. Los arreglos están en 14.1-73.37 y 13.1-64.23. CVE-2026-88772 pide DTLS, activo de fábrica en servidores virtuales de VPN. watchTowr reportó explotación anterior al parche.