Comprobador de seguridad defensiva para Citrix NetScaler ADC y Gateway — CVE-2026-88771 a CVE-2026-88778
Por Grupo Oruss | Division81 Defensive Security Research
Herramienta Python 3 offline y de solo lectura para clasificar la exposición de Citrix NetScaler ADC / Gateway según el boletín de seguridad de Citrix CTX697096. Sin tráfico de red, payloads de explotación, pruebas de DoS, autenticación ni telemetría de terceros. No es un detector de explotación de vulnerabilidades ni una evaluación de compromiso.
Exporte una configuración que esté autorizado a inspeccionar (salida de /nsconfig/ns.conf o show ns runningConfig). Obtenga la compilación de firmware instalada desde el appliance y, opcionalmente, guarde la salida de texto de show ns tcpparam. No suba configuraciones de producción propietarias a GitHub, servicios en la nube ni sistemas de seguimiento de incidencias.
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 --tcp-params examples/tcpparam.txt --output report.json
Sin dependencias de terceros. Compatible con Windows, Linux y macOS.
potentially_exposed: build afectada compatible y un requisito previo documentado parece estar presente. No prueba un comportamiento explotable.fixed_build: cumple el umbral de build corregida del aviso, no es una garantía de ausencia de compromiso.precondition_not_observed: la heurística no identificó un requisito previo en la instantánea proporcionada; no es una declaración de seguridad.configuration_unknown: faltan datos críticos de configuración complementaria.unknown_build: no fue posible una clasificación fiable de edición/build.El informe JSON contiene deliberadamente recuentos, no líneas de configuración sensibles. Revise la configuración de origen localmente.
| CVE | CVSS v4 | Condición offline |
|---|---|---|
| CVE-2026-88771 | 9.5 | Versión (todas las configuraciones predeterminadas afectadas en builds vulnerables) |
| CVE-2026-88772 | 9.5 | DTLS, incluidos los valores predeterminados implícitos de SSL VPN |
| CVE-2026-88773 | 9.3 | vServers HTTP/SSL |
| CVE-2026-88774 | 7.0 | Heurística de expresión de URL HTTP; revise manualmente los bindings |
| CVE-2026-88775 | 8.8 | vServers VPN o AAA |
| CVE-2026-88776 | 8.8 | vServer ORACLE LB |
| CVE-2026-88777 | 8.8 | Heurísticas FTP/RTSP/DNS64/NAT64/LSN; verifique los bindings de características |
| CVE-2026-88778 | 8.8 | vServer TCP + Enhanced ISN Generation deshabilitado desde show ns tcpparam |
Builds corregidas (según CTX697096): 14.1-73.37 / 13.1-64.23 para estándar, 14.1-73.37 para FIPS, 13.1-37.279 para FIPS/NDcPP.
Limitaciones: Este analizador es heurístico y puede pasar por alto contexto distribuido en múltiples líneas de CLI, valores predeterminados posteriores al despliegue, expresiones indirectas y bindings de políticas; se necesita show ns tcpparam para CVE-2026-88778. Las entradas faltantes en una configuración exportada parcial no pueden descartar la exposición. La build 13.0 y otras versiones no compatibles/fin de vida útil son desconocidas, no seguras. El verificador no confirma explotación maliciosa. Para dispositivos sin parchear expuestos a internet, aplique el parche con urgencia y realice una evaluación independiente de incidentes/compromiso.
python -m unittest discover -s tests -v
Inspeccione únicamente configuraciones que posea o tenga permiso para evaluar. Nunca confirme exportaciones reales ni resultados que contengan detalles internos. Licencia: MIT. Este es un proyecto independiente de By Grupo Oruss | Division81 Defensive Security Research, no está afiliado ni respaldado por Citrix/NetScaler.
Fuentes: Citrix CTX697096, aviso de CISA.
Genere ambos formatos localmente utilizando la misma evaluación de solo lectura:
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 \
--tcp-params examples/tcpparam.txt --json report.json --html report.html
En Windows PowerShell, ejecute el comando en una sola línea o utilice el acento grave de PowerShell para la continuación.
Abra report.html localmente en un navegador; es un archivo autónomo con CSS incrustado, sin scripts externos, recursos ni telemetría. --output sigue siendo un alias compatible con versiones anteriores de --json. El HTML proporciona un resumen de KPI, hallazgos para las ocho CVE, acciones recomendadas y advertencias sobre la evaluación. Excluye la configuración sin procesar y las líneas coincidentes; no obstante, verifique los informes antes de compartirlos.
Importante: Las evaluaciones en compilaciones corregidas no son evidencia de la ausencia de un compromiso histórico. Consulte el boletín de Citrix y la guía de CISA para el parcheo, los indicadores de compromiso y la preservación forense.