Dos días cero de Citrix: NetScaler ya está siendo atacado

Citrix ha publicado parches para dos vulnerabilidades críticas de día cero en sus productos NetScaler ADC y NetScaler Gateway. Según la compañía, las vulnerabilidades ya se están explotando en ataques reales, por lo que recomienda a las organizaciones instalar las actualizaciones cuanto antes y prepararse para posibles interrupciones.

Se trata de CVE-2026-88771 y CVE-2026-88772. La primera vulnerabilidad está relacionada con una validación incorrecta de los datos de entrada. Permite a un atacante remoto no autenticado ejecutar comandos arbitrarios. Se le ha asignado una puntuación crítica de 9,5 sobre 10.

El segundo fallo consiste en un desbordamiento de búfer y una corrupción de memoria en NetScaler ADC y NetScaler Gateway. Un atacante puede aprovecharlo para ejecutar código malicioso a distancia o provocar una denegación de servicio (DoS). También tiene una puntuación de 9,5 sobre 10.

Las vulnerabilidades afectan a NetScaler ADC en versiones anteriores a la 14.1-73.37 y la 13.1-64.23, así como a las correspondientes compilaciones FIPS anteriores a la 14.1-73.37 FIPS y a la 13.1.37.279 FIPS y NDcPP. En NetScaler Gateway, las versiones vulnerables son las anteriores a la 14.1-73.37 y la 13.1-64.23.

Citrix ha publicado parches en las versiones 14.1-73.37 y 13.1-64.23 de NetScaler ADC y Gateway, incluidas las correspondientes compilaciones FIPS. La compañía ha confirmado expresamente que ya se han observado ataques contra instalaciones sin proteger mediante CVE-2026-88771 y CVE-2026-88772.

Antes de que la información se hiciera pública, los administradores de NetScaler empezaron a recibir alertas urgentes de proveedores de servicios informáticos y equipos de seguridad. Algunos especialistas aconsejaban desconectar los dispositivos de inmediato. Según los administradores, también llegaron recomendaciones similares de las fuerzas de seguridad, centros nacionales de ciberseguridad y CERT, los equipos de respuesta a incidentes informáticos.

Los expertos de watchTowr informaron de que las organizaciones estaban reaccionando a noticias sobre varias vulnerabilidades de ejecución remota de código sin corregir en Citrix NetScaler. Había pocos detalles, pero la fuente se consideraba fiable.

En Estados Unidos, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) añadió ambas vulnerabilidades a su catálogo de vulnerabilidades conocidas y explotadas, KEV. Las agencias civiles federales estadounidenses recibieron un plazo de tres días para corregirlas: hasta el 30 de septiembre.

El Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) también reaccionó antes del anuncio público de Citrix. Según informaciones del sector, el organismo alertó a las organizaciones del país tras recibir datos de un socio europeo de CERT. El aviso hablaba de dos vulnerabilidades, cada una de las cuales podía permitir por sí sola la ejecución remota de código.

NetScaler es un objetivo habitual de los ataques porque da acceso remoto a aplicaciones y escritorios internos. Estos dispositivos suelen estar expuestos a Internet, por lo que el atacante no siempre necesita que intervenga un empleado.

Son especialmente valiosos los fallos que permiten robar tokens de sesiones autenticadas, eludir la autenticación o ejecutar código a distancia. Una vez dentro, los atacantes pueden robar credenciales, acceder a sistemas internos y moverse por la red, incluso para desplegar ransomware.

Los dispositivos perimetrales como NetScaler suelen estar menos vigilados que los ordenadores y servidores. Las organizaciones instalan numerosas herramientas de seguridad en los equipos finales, mientras que los aparatos de red especializados a menudo quedan en una zona menos visible de la monitorización. La combinación de acceso desde Internet, privilegios elevados y visibilidad limitada hace que las vulnerabilidades críticas de NetScaler resulten atractivas tanto para grupos estatales como para ciberdelincuentes que buscan dinero.