Múltiples vulnerabilidades en productos de Citrix

Fecha de publicación 28/10/2026

Identificador

INCIBE-2026-799

Importancia

5 - Crítica

Recursos Afectados

NetScaler ADC y NetScaler Gateway 14.1, anteriores a 14.1-73.49.
NetScaler ADC y NetScaler Gateway 13.1, anteriores a 13.1-64.32.
NetScaler ADC 14.1-FIPS, anteriores a 14.1-73.49 FIPS.
NetScaler ADC 13.1-FIPS y 13.1-NDcPP, anteriores a 13.1.37.286.

La afectación corresponde a las interfaces de administración que utilizan PHP: NSIP, SNIP con administración habilitada y Cluster IP.

Descripción

Los investigadores lcfr-hax, sagitzadik-wiz, tomash-areion y amyb-oai han informado sobre 2 vulnerabilidades de severidad crítica de PHP que afectan a NetScaler ADC y NetScaler Gateway. Su explotación podría permitir a un atacante sin autenticación ejecutar código en el contexto del proceso PHP afectado.

Solución

Actualizar a las siguientes versiones o posteriores de la misma rama:

NetScaler ADC y NetScaler Gateway: 14.1-73.49 o 13.1-64.32.
NetScaler ADC 14.1-FIPS: 14.1-73.49 FIPS.
NetScaler ADC 13.1-FIPS y 13.1-NDcPP: 13.1.37.286.

Consultar el boletín CTX697263.

Restringir el acceso GUI y API de todas las direcciones de administración a redes administrativas de confianza y bloquear su acceso desde Internet, siguiendo la guía de Citrix.

Los servicios en la nube gestionados por Citrix ya están corregidos y no requieren actuaciones de sus clientes.

Detalle

CVE-2026-109618: la gestión de errores por agotamiento de memoria mediante longjmp() puede interrumpir el procesamiento de una solicitud PHP y dejar memoria sin inicializar. Su uso durante la limpieza posterior podría provocar corrupción de memoria y ejecución remota de código.
CVE-2026-109619: determinados estados globales pueden conservar referencias a memoria de solicitudes ya liberada. Una solicitud posterior podría utilizar ese estado antes de inicializarlo correctamente, permitiendo la ejecución remota de código.

CVE