Resumen ejecutivo
Citrix ha publicado dos vulnerabilidades en NetScaler ADC y NetScaler Gateway. La primera (CVE-2026-19490, CVSS 9.3) permite a un atacante no autenticado eludir la autenticación del dispositivo mediante una ruta alternativa, y afecta a los equipos configurados como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o como servidor virtual AAA. La segunda (CVE-2026-19489, CVSS 8.8) es un desbordamiento de memoria que puede provocar un comportamiento impredecible del dispositivo o una denegación de servicio, y solo afecta a los equipos con SIP ALG habilitado sobre una configuración de grupo LSN. Ambas son explotables de forma remota a través de la red, sin autenticación previa ni interacción del usuario. No existen medidas de mitigación alternativas: Citrix recomienda actualizar a las versiones 14.1-73.32, 13.1-63.21 o posteriores. Actualmente no se ha reportado explotación activa, pero la urgencia de la actualización es alta.
Recursos afectados
- NetScaler ADC y NetScaler Gateway 14.1 anteriores a 14.1-73.32
- NetScaler ADC y NetScaler Gateway 13.1 anteriores a 13.1-63.21
- NetScaler ADC FIPS anteriores a 14.1-73.32 FIPS
- NetScaler ADC FIPS y NDcPP anteriores a 13.1-37.277
Análisis técnico
- CVE-2026-19490: Bypass de autenticación mediante una ruta alternativa. Un atacante no autenticado puede eludir los controles de autenticación del dispositivo. Solo afecta a los equipos configurados como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o como servidor virtual AAA; en las versiones 14.1-43.56, 14.1-66.68-FIPS y 13.1-61.28 y posteriores, únicamente si además hay una acción SAML configurada.
- CWE: CWE-288
- CVSS: 9.3 (Crítica)
- Vector CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L
- Explotación: No detectada
- CVE-2026-19489: Desbordamiento de memoria que puede provocar un comportamiento impredecible del dispositivo o una denegación de servicio. Solo afecta a los equipos con SIP ALG (Session Initiation Protocol Application Layer Gateway) habilitado sobre una configuración de grupo LSN (Large Scale NAT).
- CWE: CWE-119
- CVSS: 8.8 (Alta)
- Vector CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:L
- Explotación: No detectada
Mitigación / Solución
Cloud Software Group urge a los clientes afectados de NetScaler ADC y NetScaler Gateway a instalar las versiones actualizadas relevantes lo antes posible: NetScaler ADC y NetScaler Gateway 14.1-73.32 y versiones posteriores, NetScaler ADC y NetScaler Gateway 13.1-63.21 y versiones posteriores de 13.1, NetScaler ADC 14.1-FIPS 14.1-73.32 FIPS y versiones posteriores de 14.1-FIPS, y NetScaler ADC 13.1-FIPS y 13.1-NDcPP 13.1-37.277 y versiones posteriores de 13.1-FIPS y 13.1-NDcPP.