Impacto Crítico en la Perímetro de Red: Citrix Confirma Explotación de Fallos RCE
La comunidad de ciberseguridad se encuentra en estado de alerta tras la confirmación por parte de Citrix de dos vulnerabilidades críticas de tipo Zero-Day que afectan a sus soluciones NetScaler ADC y NetScaler Gateway. Estos fallos, que permiten la ejecución remota de código (RCE), han sido detectados bajo explotación activa en entornos reales antes de que existiera un parche oficial disponible.
Los dispositivos NetScaler son componentes fundamentales en la infraestructura tecnológica de muchas empresas, situándose en el borde de la red para gestionar accesos VPN, balanceo de carga y autenticación de usuarios. Su compromiso representa un riesgo sistémico para la organización afectada.
Análisis Técnico de las Vulnerabilidades
Citrix ha identificado y asignado identificadores a estos dos fallos de alta severidad, ambos con una puntuación CVSS v4 de 9.5:
- CVE-2026-88771: Un fallo de validación de entrada incorrecta que permite a un atacante no autenticado ejecutar comandos arbitrarios. Lo más preocupante es que afecta a todos los despliegues de NetScaler, independientemente de su configuración.
- CVE-2026-88772: Un desbordamiento de memoria que puede derivar en ejecución de código o denegación de servicio (DoS). Afecta a dispositivos con DTLS habilitado, una configuración que viene activada por defecto en los servidores virtuales VPN de NetScaler Gateway.
Cronología y Respuesta del Sector
La noticia trascendió inicialmente a través de la firma de seguridad watchTowr, que detectó indicios de compromiso durante investigaciones forenses. Ante la falta de una solución inmediata, algunos administradores de sistemas optaron por desconectar sus dispositivos para mitigar el riesgo de intrusión. Citrix publicó finalmente el boletín de seguridad confirmando los ataques y liberando las actualizaciones necesarias para cerrar estas brechas.
Medidas de Mitigación Urgentes
Desde Intedya, recomendamos a todas las organizaciones que utilicen estas soluciones proceder con la actualización inmediata a las versiones corregidas:
- NetScaler ADC y Gateway 14.1-73.37 o superior.
- NetScaler ADC y Gateway 13.1-64.23 o versiones posteriores de la rama 13.1.
- Versiones FIPS y NDcPP equivalentes detalladas en el boletín de Citrix.
¿Qué hacer si sospecha de un compromiso?
Debido a que estas vulnerabilidades fueron explotadas antes de la existencia del parche, la simple actualización no garantiza la eliminación de un atacante que ya haya ganado acceso. Si existen sospechas de intrusión, se recomienda:
- Preservar evidencias: Realizar snapshots y bundles de soporte técnico antes de reiniciar o aislar el equipo.
- Aislamiento: Desconectar el dispositivo de la red para contener la posible propagación.
- Rotación de credenciales: Cambiar todas las contraseñas de cuentas de servicio y secretos almacenados, así como revocar certificados y claves privadas.
- Auditoría de logs: Revisar los registros en servidores syslog remotos en busca de anomalías previas a la actualización.
Este incidente subraya la importancia de mantener una estrategia de defensa en profundidad y una monitorización continua de los activos expuestos a internet, que siguen siendo el vector de entrada preferido para los actores de amenazas avanzadas.
Fuentes
- The Hacker News — Warning: Two Unpatched Citrix NetScaler RCE Zero-Days Under Active Exploitation
https://thehackernews.com/2026/09/warning-two-unpatched-citrix-netscaler.html