El catálogo de vulnerabilidades explotadas conocidas de CISA incluye una vulnerabilidad adicional de Citrix NetScaler tras los presuntos ataques de día cero de septiembre. La agencia añadió el CVE-2026-88779 el 4 de octubre. Describe un fallo de búfer de memoria en NetScaler ADC y NetScaler Gateway que podría provocar una denegación de servicio.
Esta entrada sigue al CVE-2026-88771, que CISA añadió el 27 de septiembre. La agencia lo describe como una validación de entradas deficiente que podría permitir a un atacante no autenticado ejecutar comandos arbitrarios. Ambas figuran en la actualización del catálogo del 26 de octubre, lo que demuestra que CISA las reconoce como vulnerabilidades explotadas, aunque distingue sus posibles efectos.
Según el relato de SecurityWeek, atacantes no identificados empezaron a explotar a mediados de septiembre fallos de NetScaler hasta entonces no divulgados. Analistas de amenazas del gobierno neerlandés y responsables privados de respuesta a incidentes detectaron tráfico sospechoso. Distribuidores y avisos de seguridad instaron a los administradores a restringir o desconectar las implementaciones expuestas a internet durante el fin de semana del 26 de septiembre. SecurityWeek informa de que Citrix publicó parches ese domingo para vulnerabilidades identificadas desde el CVE-2026-88771 hasta el CVE-2026-88778.
NetScaler combina funciones como proxy inverso, balanceo de carga, protección mediante cortafuegos de aplicaciones web y acceso VPN SSL. Su posición en el perímetro de la red hace que la distinción entre ejecución de comandos e interrupción del servicio sea relevante: las dos entradas del catálogo describen capacidades distintas y no deben tratarse como intercambiables.
En el caso del CVE-2026-88771, CISA exige explícitamente un triaje forense conforme a su directriz BOD 26-04, junto con las mitigaciones indicadas por el proveedor. Sus notas indican que ejecutar los indicadores de compromiso proporcionados en la consola de NetScaler puede ayudar a identificar la explotación. La entrada del CVE-2026-88779 marca el triaje forense como «No» y también indica a las organizaciones que apliquen las mitigaciones del proveedor. Los plazos de corrección indicados fueron el 30 de septiembre y el 7 de octubre, respectivamente.
SecurityWeek especuló con que los identificadores CVE secuenciales aún no publicados podrían indicar nuevos avisos. La entrada fechada de CISA establece que el CVE-2026-88779 se incluyó posteriormente como explotado; no establece el estado de los identificadores restantes. El catálogo registra el uso en campañas de ransomware como desconocido para ambas vulnerabilidades listadas.
