Dos días cero de Citrix NetScaler, tres semanas sin detectar y ahora explotación masiva

Citrix publicó un boletín de seguridad el 27 de septiembre de 2026 que cubría ocho vulnerabilidades en NetScaler ADC y NetScaler Gateway, sus controladores de entrega de aplicaciones y pasarelas de acceso remoto. Dos de ellas, CVE-2026-88771 y CVE-2026-88772, ya estaban siendo explotadas como días cero antes de que existiera el parche. Ambas tienen una puntuación base CVSS 4.0 de 9,5, en lo más alto de la banda crítica.

Lectura relacionada: El día cero de FortiMail de Fortinet permite a los atacantes escribir archivos sin iniciar sesión · El día cero del SD-WAN Manager de Cisco permite a los atacantes entrar como administradores.

Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) añadió ambas fallas a su catálogo de vulnerabilidades explotadas conocidas, y dijo haber recibido informes e inteligencia de amenazas de socios que confirmaban que los atacantes las estaban explotando en todo el mundo. Para las miles de organizaciones que terminan VPN y acceso remoto en un dispositivo NetScaler, el mensaje se parece al de CitrixBleed en 2023: trate el dispositivo perimetral como un objetivo, y no dé por hecho que un parche por sí solo elimina a un intruso que llegó antes.

Qué divulgó Citrix el 27 de septiembre

El boletín, CTX697096, corrige ocho CVE. Los dos más importantes son los que se explotaron.

CVE-2026-88771 es una falla de validación de entrada incorrecta (CWE-20) que permite a un atacante no autenticado ejecutar comandos arbitrarios del sistema operativo en el dispositivo. Según Rapid7, afecta a implementaciones vulnerables en su configuración predeterminada, sin necesidad de ninguna función opcional, y el fabricante calificó su complejidad de ataque como baja. Esa combinación es la que convirtió una intrusión dirigida en una caza automatizada y amplia en cuanto los detalles se hicieron públicos.

CVE-2026-88772 es un desbordamiento de memoria (CWE-119) que puede provocar ejecución remota de código o una denegación de servicio cuando DTLS está habilitado, algo que sucede de forma predeterminada en los servidores virtuales de VPN. Citrix calificó su complejidad de ataque como alta, y no había aparecido ninguna prueba de concepto pública en el momento del informe de Help Net Security del 29 de septiembre.

Los seis CVE restantes, de CVE-2026-88773 a CVE-2026-88778, no se reportaron como explotados. Incluyen una falla de contrabando de solicitudes HTTP valorada en 9,3 y varios desbordamientos de memoria valorados en 8,8. CVE-2026-88778 es una falla de número de secuencia inicial de TCP predecible (CWE-342) que la actualización por sí sola no cierra: los administradores también deben habilitar la generación mejorada de ISN.

Las compilaciones corregidas de Citrix son 14.1-73.37 y posteriores, 13.1-64.23 y posteriores, 14.1-73.37 FIPS y posteriores, y 13.1-37.279 y posteriores para las ramas 13.1-FIPS y 13.1-NDcPP. El boletín no indica ningún método alternativo. En la rama 13.1, watchTowr aconseja ejecutar primero show ns variable, porque los dispositivos con variables definidas deberían pasar a 13.1-64.24 para evitar un bucle de reinicio durante la actualización.

Semanas de acceso silencioso antes del aviso

La divulgación comprimió una cronología más larga de lo que sugieren las fechas. Los investigadores de Mandiant dijeron a CyberScoop que la explotación conocida más temprana de CVE-2026-88772 ocurrió el 3 de septiembre de 2026, más de tres semanas antes de que Citrix la confirmara. El grupo de inteligencia de amenazas de Google y Mandiant dijeron después que la campaña llevaba en marcha al menos desde principios de septiembre.

Cuando se publicó el boletín, Mandiant dijo que organizaciones de Norteamérica y Europa de los sectores gubernamental, financiero, educativo, de telecomunicaciones y de servicios legales y profesionales probablemente habían sido comprometidas. "Tenemos constancia de docenas de organizaciones afectadas", escribió en LinkedIn Charles Carmakal, CTO de Mandiant Consulting, que atribuyó la actividad a actores avanzados y presuntamente patrocinados por Estados.

Las intrusiones no fueron un simple golpe y fuga. La Unidad 42 de Palo Alto Networks documentó una web shell PHP empaquetada en un .deb que ofrecía ejecución remota de comandos además de exfiltración y carga de archivos, con el tráfico de mando y control cifrado bajo una clave fija. En otra cadena vinculada a CVE-2026-88771, los atacantes usaron tres etapas de envenenamiento de registros para lograr que un script Perl de NetScaler ejecutara una shell PHP, y después modificaron el httpd.conf de Apache para servir la shell bajo un nombre de archivo que parecía un recurso CSS versionado. El grupo de inteligencia de amenazas de Google y Mandiant bautizaron después el conjunto de herramientas: WHIPSHOT, una web shell PHP, y SLAPSHOT, un túnel TCP en Python que permitía al intruso pivotar hacia redes internas, informó The Register.

Rapid7 dijo que observó intentos de explotación ya el 20 de septiembre, incluido un comando que archivaba /flash/nsconfig, el directorio que contiene la configuración del dispositivo, las contraseñas de administrador cifradas, los certificados SSL y las claves privadas, y escribía el archivo en una ruta servida por web. En un dispositivo vulnerable, el archivo podría descargarse sin autenticación.

GreyNoise, que opera una red de sensores que registra el comportamiento de los atacantes, dijo que detectó un intento de explotar CVE-2026-88771 contra un NetScaler Gateway el 24 de septiembre, tres días antes de la divulgación pública. El intento falló en el sensor, según la firma, pero dejó al descubierto un manual: obtener acceso de administrador, esconder una web shell detrás de una dirección de hoja de estilos falsa, borrar los registros y reiniciar el servidor.

Por qué los dispositivos perimetrales siguen siendo golpeados

Los dispositivos NetScaler se sitúan en el borde de las redes empresariales, terminan VPN y acceso remoto, equilibran el tráfico y autentican a los usuarios. Un dispositivo comprometido entrega al atacante un punto de apoyo que las herramientas de detección de endpoints no ven, porque el aparato no ejecuta ningún agente de endpoint. Por eso estos productos siguen apareciendo en las campañas de explotación.

La historia reciente está llena. CVE-2023-4966, conocido como CitrixBleed, fue un desbordamiento de búfer de NetScaler; CVE-2025-5777, CitrixBleed 2, fue una lectura fuera de límites. Siguió una racha de fallas en 2026, incluidas CVE-2026-19490, que CISA añadió a KEV el 9 de septiembre, y CVE-2026-8452, añadida el 26 de agosto. El grupo de inteligencia de amenazas de Google atribuyó alrededor de la mitad de los días cero relacionados con empresas en 2025 a productos de seguridad y redes.

La exposición pública es grande. Censys dijo a Help Net Security que detecta unos 42.000 hosts NetScaler conectados a internet, con Estados Unidos sumando 13.549 (32 %), Alemania 5.678 (13 %), y Países Bajos, Reino Unido y Suiza alrededor del 4 % cada uno. Cortex Xpanse de Palo Alto Networks cifró en 50.277 el número de instancias expuestas potencialmente vulnerables al 27 de septiembre. El investigador de seguridad Kevin Beaumont dijo que su escaneo de versiones de firmware encontró que menos del 10 % de los hosts expuestos estaban parcheados, y que seguía la pista de más de 100 organizaciones víctimas.

Una vez que watchTowr Labs publicó un análisis de causa raíz y una prueba de concepto para CVE-2026-88771, el carácter de los ataques cambió. Xavier Bellekens, consejero delegado de la firma de engaño Lupovis, dijo a Help Net Security que sus sensores registraron explotación en vivo minutos después de la publicación de la PoC. "Si ejecuta NetScaler y no ha parcheado, dé por hecho que ya lo están sondeando", dijo.

CERT-EU publicó su propio aviso, 2026-014, con detalles técnicos y pistas para la caza de amenazas, y otros CERT nacionales emitieron alertas. La transición de la explotación privada a un todos contra todos público tardó días. El análisis de causa raíz y la PoC aparecieron poco después del parche, y los escáneres siguieron en cuestión de minutos. Esa ventana tan comprimida deja poco margen para el despliegue por etapas que suelen preferir las grandes empresas, y hoy es el patrón normal de los productos expuestos a internet, no una excepción.

"Parchear por sí solo puede no erradicar al actor de amenaza de su entorno". — Charles Carmakal, CTO de Mandiant Consulting

Qué deben hacer primero los defensores

El parche es necesario, pero no es el primer paso, y puede no ser suficiente por sí solo. La alerta de CISA pide a las organizaciones que comprueben si hay signos de compromiso antes de parchear, porque una actualización "puede provocar la pérdida de visibilidad forense". Carmakal señaló lo mismo: examinar los sistemas en busca de compromiso antes de actualizar, preservar las pruebas de web shells u otros archivos maliciosos e investigar el alcance de la intrusión. Si un atacante ya tenía root, cambiar el software por debajo de él elimina el punto de entrada sin eliminar al intruso.

La guía de watchTowr recorre la secuencia: capturar registros, una instantánea, un paquete de soporte y un volcado de memoria de cada dispositivo expuesto; ejecutar el escaneo de indicadores de Citrix o solicitar los indicadores; instalar la compilación corregida; rotar contraseñas, secretos y certificados almacenados en el dispositivo o usados a través de él; y mantener las interfaces de gestión fuera de internet. Como un NetScaler comprometido puede exponer credenciales de VPN y tokens de sesión, quienes respondan deben dar por hecho que están quemados, rotarlos y cerrar las sesiones activas.

Salvedades

Conviene tener presentes algunos límites. Quién está detrás de los ataques sigue siendo desconocido: ni Citrix, ni CISA, ni Google han atribuido públicamente la campaña, y el consejero delegado de watchTowr, Benjamin Harris, dijo a The Register que no había una tendencia clara entre los objetivos. El vínculo entre los dos CVE explotados tampoco está resuelto; GreyNoise observó intentos de CVE-2026-88771 desde el 24 de septiembre, mientras que Mandiant rastreó CVE-2026-88772 hasta el 3 de septiembre, y los investigadores dicen que las dos campañas pueden o no implicar a los mismos actores.

El script de detección de Citrix tiene su propia laguna. El fabricante dijo a Help Net Security que "podría no identificar compromisos reales", dado que los atacantes cambian de tácticas e infraestructura. Un escaneo limpio, por tanto, no es prueba de seguridad. Los recuentos de hosts expuestos son mediciones puntuales de escáneres de internet que no pueden ver si un dispositivo concreto está parcheado o ya comprometido, y el número de organizaciones víctimas es un suelo, no un total.

Está también la cuestión de por qué la divulgación tardó tanto. watchTowr avisó públicamente el 26 de septiembre de que se estaban explotando fallas RCE de NetScaler sin parchear, un día antes de que Citrix publicara. El centro nacional de ciberseguridad neerlandés había notificado antes en privado a algunas partes. Citrix ha dicho que encontró las fallas mientras investigaba incidentes en entornos de clientes, lo que significa que tanto la explotación como la conciencia del fabricante precedieron a cualquier alerta pública.

Qué vigilar

Tres cosas mostrarán hasta dónde llega esto. La primera es si aparece un exploit público para CVE-2026-88772. CVE-2026-88771 ya tiene uno, y eso es lo que desencadenó el escaneo masivo actual; una segunda PoC bajaría la barrera para la falla más difícil de explotar y ampliaría el grupo de atacantes. La segunda es la atribución. Si los gobiernos o los fabricantes nombran a un grupo vinculado a un Estado, el incidente pasa de ser una historia de parcheo a una geopolítica. La tercera es cuántas organizaciones comprometidas salgan a la luz después. Las "docenas" de Mandiant son una cifra temprana, y el recuento de víctimas de investigadores independientes sugiere que el total real sigue subiendo. Los dispositivos NetScaler también tienden a permanecer en servicio durante años, así que una parte del parque expuesto seguirá sin parchear mucho después de que el ciclo de noticias pase de largo, y cada uno de esos hosts es una invitación permanente para el actor que llegue el último.

Por ahora, la instrucción práctica es estrecha y urgente. Si un NetScaler ADC o Gateway expuesto a internet no se ha actualizado a una compilación corregida, debe tratarse como expuesto. Si se ha actualizado, todavía merece una comprobación de compromiso antes de que alguien vuelva a confiar en él.

Imagen de portada: el edificio de la sede de Citrix. Foto de Coolcaesar vía Wikimedia Commons, CC BY-SA 3.0.