El 19 de agosto Citrix publicó el boletín CTX696939: dos fallos en NetScaler ADC y NetScaler Gateway, uno de ellos un bypass de autenticación con 9,3 sobre 10 en CVSS v4. Al día siguiente empezaron a circular los recuentos: más de 22.000 NetScaler ADC y cerca de 1.800 NetScaler Gateway visibles desde internet. Las dos cosas son ciertas. Juntas no significan lo que parece.
Porque la pregunta que tiene que contestar quien opera uno de estos aparatos no es «¿cuántos hay ahí fuera?» ni «¿cuánto puntúa?». Es más aburrida y mucho más incómoda: ¿mi aparato cumple las condiciones que pide el boletín? Y esa pregunta, en este caso concreto, no se contesta mirando la versión. Se contesta mirando la configuración.
Qué dice el boletín, en treinta segundos
| CVE | Qué es | Condición previa | CVSS v4 |
|---|---|---|---|
| CVE-2026-19490 | Salto de autenticación por una ruta alternativa (CWE-288) | Aparato configurado como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o como servidor virtual AAA — con matices por versión | 9,3 |
| CVE-2026-19489 | Desbordamiento de memoria: comportamiento impredecible o denegación de servicio (CWE-119) | SIP ALG activado sobre una configuración de grupo LSN | 8,8 |
El segundo, el 19489, le toca a muy poca gente: hace falta SIP ALG sobre un grupo de Large Scale NAT. Eso vive en casa de quien hace NAT a gran escala —operadores, básicamente—, no en el NetScaler de una empresa de doscientos empleados. Nosotros operamos red propia y sabemos lo que es hacer NAT a esa escala; si no eres de ese club, pasa de largo. El que importa hoy es el otro.
22.000 aparatos a la vista no son 22.000 vulnerables
La cifra que ha circulado esta semana viene del rastreo de la Shadowserver Foundation: más de 22.000 NetScaler ADC y cerca de 1.800 NetScaler Gateway alcanzables desde internet. Es un dato bueno y honesto —cuentan lo que responde desde fuera— pero mide otra cosa distinta de lo que titula.
- →Sobra por un lado. Un ADC que solo hace balanceo de carga, sin Gateway ni servidor virtual AAA, no cumple la condición del 19490. Cuenta en los 22.000 y no está afectado por este fallo.
- →Falta por el otro. Un servidor virtual AAA no se anuncia al mundo con un cartel. Un escaneo externo no ve tu configuración: ve un puerto y una respuesta.
- →Y hay una tercera categoría que nadie cuenta: el boletín avisa de que los despliegues híbridos de Secure Private Access que usan instancias de NetScaler también están afectados y hay que actualizarlos. Esos no salen en ningún ranking de puertos abiertos.
Ninguna de esas cifras te dice si tú estás dentro. Sirven para saber el tamaño del problema del sector, que es información legítima y a la vez perfectamente inútil para tu ventana de mantenimiento del martes.
La bifurcación: la condición cambia según tu build (y no como esperas)
Aquí está la parte del boletín que hay que leer dos veces, porque no es la tabla de «afectado antes de X» de siempre. Citrix desglosa la condición previa del 19490 por rango de versión:
| Build | Qué hace falta para estar afectado |
|---|---|
| 14.1-43.56 o posterior | Acción SAML configurada Y Gateway o AAA vserver |
| 14.1-66.68-FIPS o posterior | Acción SAML configurada Y Gateway o AAA vserver |
| 14.1-43.55 o anterior | Basta con Gateway o AAA vserver |
| 13.1-61.28 o posterior | Solo con una acción SAML configurada |
| 13.1-61.27 o anterior | Basta con Gateway o AAA vserver |
| 13.1 FIPS | Basta con Gateway o AAA vserver |
Léelo del revés y sale la conclusión que no es intuitiva: cuanto más atrás vas, menos condiciones necesita el atacante. En una build antigua sin actualizar, con tener el Gateway montado ya cumples. En una reciente, además hace falta que tengas SAML configurado. Estar a medio actualizar no te deja a medio camino: te deja en el grupo que necesita menos requisitos para entrar.
Un apunte de lectura fina, porque el boletín no lo repite en cada fila: la frase que encabeza la tabla exige que el aparato esté configurado como Gateway o AAA vserver, y las condiciones por versión van «sujetas» a eso. En la fila de 13.1-61.28 o posterior solo se menciona la acción SAML; nosotros la leemos junto con esa frase de arriba, no en su lugar.
Las builds corregidas son 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS y 13.1-37.277 para FIPS y NDcPP. Y un detalle que conviene tener claro antes de discutir con nadie: el boletín se aplica solo al NetScaler gestionado por el cliente. Los servicios cloud gestionados por Citrix y la Adaptive Authentication gestionada por Citrix los actualiza el fabricante. Si tu NetScaler lo enciendes tú, el parche es tuyo.
Cómo se contesta de verdad: tres cadenas en la configuración
Lo mejor del boletín no es la tabla: es que Citrix publica las cadenas exactas que hay que buscar en la configuración para saber si cumples la condición. Eso convierte una pregunta de comité en un grep.
# CVE-2026-19490 add authentication samlAction.* add authentication vserver .* add vpn vserver .* # CVE-2026-19489 add lsn group.*sipalg.*
Un aviso de operación, por si acaso: si buscas sobre el fichero ns.conf estás mirando la configuración guardada, no la que está corriendo. Si alguien tocó algo y no hizo save ns config, lo que corre no es eso. Es la clase de detalle que no sale en ninguna nota de prensa y que te cambia la respuesta.
Por qué un fallo pre-autenticación no es «un CVE más»
El vector completo es CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L. Por red, complejidad baja, sin requisitos de ataque previos, sin credenciales y sin que nadie tenga que hacer clic en nada. La clasificación es CWE-288: no es romper la autenticación, es no pasar por donde se comprueba. Hay una puerta principal con portero y hay un pasillo que no da a la puerta principal.
El aparato que valida tu segundo factor es el mismo que tiene el fallo. Y un CWE-288 no fuerza esa validación: la rodea. Si el salto ocurre antes de la cadena nFactor —que es lo que sugiere la clasificación, porque el boletín no describe el efecto—, tu MFA no llega ni a preguntar.
Y ahora el matiz, que está en la cola del propio vector: los tres últimos campos son SC:L/SI:L/SA:L. Impacto alto sobre el aparato vulnerable; bajo sobre los sistemas que hay detrás. Es decir: el vector sitúa el salto en el NetScaler, no te da una llave maestra del dominio. Con dos advertencias nuestras encima: esa puntuación la pone el propio fabricante como CNA, y en un aparato cuyo oficio es precisamente dar paso a lo que hay detrás, un SC:L es de las cosas que uno cuestiona antes de repetirlas. Que sea grave no lo convierte en el fin del mundo; que el fabricante se puntúe bajo tampoco lo convierte en menor.
El campo que CISA rellenó y casi nadie citó: automatable, yes
A día de hoy no consta explotación activa. Rapid7 lo dijo el 19 de agosto y el registro del NVD lo respalda con un dato más interesante: el bloque SSVC de CISA, sellado el 20 de agosto a las 03:56 UTC, marca exploitation: none, technicalImpact: total y —esta es la que hay que leer— automatable: yes. Traducido: hoy nadie lo está usando, y el día que alguien lo use, se puede automatizar contra todo internet.
El histórico ayuda a ponerlo en escala: Citrix acumula 22 entradas en el catálogo KEV de CISA, 7 de ellas con uso conocido en campañas de ransomware. Ninguna es esta, todavía. Y lo de «todavía» no es dramatismo: en el vCenter de este mismo mes, «sin explotación conocida» duró cinco días.
Qué hacemos en la ventana
La ventana es el rato que va del boletín al primer exploit público. No sabemos cuánto dura —nadie lo sabe— y por eso el orden importa más que la prisa. Así ordenamos una ventana en un aparato de borde, sea de quien sea la caja:
- 1.Inventariar por condición, no por versión. Las tres cadenas del boletín sobre cada aparato, más la versión que corre de verdad. Sin eso, todo lo demás es opinión.
- 2.Ordenar por exposición real. Primero los que cumplen condición y publican el Gateway a internet. Después los AAA que solo se ven desde dentro: también cuentan, pero no compiten por la misma noche.
- 3.Avisar de que se cortan sesiones. Actualizar un par en alta disponibilidad significa conmutar, y lo normal es que quien esté conectado por VPN se entere. Prometer que no se nota es la manera más rápida de quemar la confianza de un cliente.
- 4.Confirmar después, no antes. Comprobar la versión que ha arrancado de verdad y volver a pasar las tres cadenas. Un aparato que se actualiza y arranca por la partición anterior existe y da mucha vergüenza descubrirlo un mes después.
- 5.Mirar hacia dentro, no solo hacia el aparato. Si el fallo se hubiera usado contra ti antes del parche, el rastro no estaría en el NetScaler: estaría en accesos raros a lo que hay detrás. Parchear cierra la puerta; no cuenta quién pasó por ella.
Este aviso, además, no viene con reloj puesto. No está en el catálogo KEV, así que tampoco arrastra la cuenta atrás de la que hablábamos cuando la directiva daba tres días — una directiva estadounidense que a ti seguramente no te obliga, pero que marca el ritmo al que se mueve el resto del sector. Eso no lo hace menos urgente; lo hace tuyo: la fecha la pones tú, y sin fecha puesta esto se queda en la lista de pendientes hasta que salga en las noticias.
En corto
Un 9,3 no es una orden de trabajo. La orden de trabajo es la lista de aparatos que cumplen la condición del boletín, con su versión real al lado y una noche puesta en el calendario. Si esa lista te lleva más de una tarde reunirla, el problema que tienes hoy no es el CVE-2026-19490: es que no sabes qué hay configurado en el borde de tu red. Y eso vuelve el mes que viene, con otro nombre en la tapa.
De ahí salen las dos cosas que no te vamos a decir esta semana. Una, que cambies de fabricante: sería aprovecharse del calendario, porque ningún aparato de acceso remoto tiene un historial limpio y de los zero-days de SonicWall salió esta misma conclusión con otra caja delante. Y dos, que apagues el Gateway por si acaso: si no cumples la condición, quedarte sin acceso remoto por un boletín sin explotación conocida te cuesta más de lo que te protege. En everyWAN llevamos esa clase de listas para quien prefiere no improvisarlas la noche que toca — ciberseguridad y redes y comunicaciones, sin vender licencias de nadie, porque no somos resellers.
Fuentes (consultadas el 22-ago-2026): las versiones afectadas y corregidas, las condiciones previas por build, las cadenas de configuración a buscar, la nota sobre Secure Private Access Hybrid y la aclaración de que el boletín solo aplica al NetScaler gestionado por el cliente, en el boletín de seguridad CTX696939 de Citrix (19 d'agost de 2026); el vector CVSS v4 completo, el CWE-288 y el bloque SSVC de CISA con automatable: yes, en el registro del NVD para CVE-2026-19490; la ausencia de explotación observada el 19 de agosto, en el análisis de Rapid7; los recuentos de aparatos alcanzables desde internet, del rastreo de la Shadowserver Foundation recogido por BleepingComputer; el recuento de entradas de Citrix es nuestro, hecho sobre el catálogo KEV de CISA en su versión 2026.08.21.
¿Sabrías decir hoy qué hay configurado en el borde de tu red?
En everyWAN diseñamos, operamos y mantenemos la infraestructura de red y seguridad de nuestros clientes: inventario real con NetBox como fuente de verdad, ventanas de parcheo pactadas y un SOC 24/7 detrás. Si la lista de arriba te ha hecho dudar, esa es la conversación.
Hablar con everyWAN
Microsoft 365
ES 
CAT 
EN