Dos vulnerabilidades críticas. Una puerta abierta a tu red
Citrix NetScaler bajo ataque: dos vulnerabilidades críticas ponen en riesgo el acceso a redes internas
Más de 50,000 instancias de Citrix NetScaler expuestas a Internet podrían estar en riesgo mientras atacantes explotan activamente dos vulnerabilidades críticas capaces de facilitar la ejecución remota de código y el acceso a redes internas.
Una vulnerabilidad crítica es preocupante.
Dos vulnerabilidades críticas, con una puntuación CVSS de 9.5, explotadas activamente y presentes en dispositivos expuestos directamente a Internet, representan un escenario que las organizaciones no deberían dejar para después.
Ese es precisamente el panorama alrededor de Citrix NetScaler ADC y NetScaler Gateway.
Citrix confirmó el 27 de septiembre la existencia de CVE-2026-88771 y CVE-2026-88772, dos vulnerabilidades que ya están siendo aprovechadas por atacantes. Los investigadores han observado la instalación de web shells y herramientas de tunelización capaces de utilizar un dispositivo comprometido como puente hacia la red interna.
El problema, por tanto, no termina en el dispositivo vulnerable.
NetScaler puede convertirse en la puerta de entrada.
¿Qué está ocurriendo con Citrix NetScaler?
Las dos vulnerabilidades afectan a productos utilizados habitualmente para proporcionar acceso remoto y servicios de entrega de aplicaciones.
El riesgo aumenta porque los dispositivos NetScaler suelen encontrarse directamente expuestos a Internet. Si un atacante consigue explotarlos, puede obtener una posición privilegiada desde la cual intentar avanzar hacia otros recursos de la organización.
Las vulnerabilidades identificadas son:
CVE-2026-88771 — CVSS 9.5
Se trata de una vulnerabilidad relacionada con una validación incorrecta de entradas que puede permitir a un atacante no autenticado ejecutar comandos arbitrarios.
En otras palabras, el atacante no necesita contar previamente con credenciales válidas para intentar aprovechar la vulnerabilidad.
CVE-2026-88772 — CVSS 9.5
La segunda vulnerabilidad corresponde a un desbordamiento de memoria que puede provocar ejecución remota de código o una condición de denegación de servicio.
Esta vulnerabilidad está asociada a dispositivos con DTLS habilitado, una configuración especialmente relevante porque DTLS está habilitado de forma predeterminada para los servidores virtuales VPN.
El verdadero riesgo: NetScaler como puente hacia la red interna
Aquí es donde el escenario se vuelve especialmente preocupante.
Los investigadores no solo observaron la explotación de las vulnerabilidades. También identificaron el uso de web shells y herramientas de tunelización.
La tunelización permite redirigir tráfico a través de un dispositivo comprometido. Desde la perspectiva del atacante, esto puede convertir un NetScaler expuesto a Internet en una especie de puente hacia recursos que originalmente no estaban disponibles desde el exterior.
Imaginemos el escenario:
Internet → NetScaler vulnerable → acceso inicial → túnel → red interna
Por eso, limitar el análisis a “¿el servidor fue comprometido?” puede ser insuficiente.
La pregunta debería ser:
“Si este dispositivo fue comprometido, ¿hasta dónde pudo llegar el atacante?”
Una vez conseguido el acceso, los atacantes pueden intentar descubrir sistemas internos, acceder a recursos adicionales, robar credenciales o mantener persistencia dentro del entorno.
Más de 50,000 instancias podrían estar expuestas
El alcance potencial de la campaña también resulta preocupante.
Hasta el 27 de septiembre, Palo Alto Networks había identificado más de 50,277 instancias de NetScaler expuestas a Internet que podrían ser vulnerables.
Además, el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) informó haber recibido información sobre estas vulnerabilidades a través de un socio europeo y señaló actividad de explotación contra clientes de Citrix en diferentes partes del mundo.
Esto cambia completamente la prioridad.
No estamos ante una vulnerabilidad que simplemente deba añadirse a la próxima ventana de mantenimiento.
Existe evidencia de explotación activa.
Y cuando un dispositivo de acceso remoto está involucrado, el tiempo entre la explotación inicial y el movimiento hacia otros sistemas puede ser crítico.
¿Qué versiones de NetScaler están afectadas?
Las vulnerabilidades afectan a diferentes ramas de NetScaler ADC y NetScaler Gateway:
• NetScaler 14.1
• NetScaler 13.1
• NetScaler 14.1 FIPS
• NetScaler 13.1 FIPS/NDcPP
Un aspecto especialmente importante es que CVE-2026-88771 afecta a todas las implementaciones de NetScaler ADC y NetScaler Gateway y no requiere que se active una función adicional.
En el caso de CVE-2026-88772, el riesgo está asociado a implementaciones con DTLS habilitado. Dado que esta configuración está habilitada de forma predeterminada para servidores virtuales VPN, los entornos NetScaler Gateway deben considerarse especialmente relevantes.
¿Qué deben hacer las organizaciones?
La prioridad parchear cuando antes.
Producto / versión Versión corregida
NetScaler ADC / Gateway 14.1 14.1-73.37 o posterior
NetScaler ADC / Gateway 13.1 13.1-64.23 o posterior
NetScaler ADC 14.1 FIPS 14.1-73.37 FIPS o posterior
NetScaler ADC 13.1 FIPS / NDcPP 13.1-37.279 o posterior
Sin embargo, aplicar el parche no sería el unico paso.
¿Y si el atacante ya estaba dentro antes de instalar el parche?
Antes o durante el proceso de remediación, las organizaciones deberían revisar los avisos de Citrix y buscar indicadores de compromiso relacionados con la explotación.
También es importante investigar:
• Actividad sospechosa en los dispositivos NetScaler.
• Presencia de web shells.
• Herramientas o conexiones de tunelización inesperadas.
• Conexiones anómalas desde NetScaler hacia sistemas internos.
• Cambios no autorizados en configuraciones.
• Credenciales potencialmente expuestas.
• Sesiones activas que pudieran haber sido comprometidas.
• Actividad posterior a la explotación.
Si existe evidencia de compromiso, la respuesta debe ir más allá de actualizar el dispositivo.
Puede ser necesario revisar credenciales, sesiones, accesos privilegiados y actividad lateral dentro de la red.
NetScaler es el objetivo. La organización completa puede ser el premio
Este incidente deja una lección importante para cualquier organización que utilice dispositivos de acceso remoto expuestos a Internet.
El riesgo de una vulnerabilidad crítica no se limita al componente afectado.
Un atacante puede utilizar ese primer punto de entrada para intentar avanzar hacia sistemas que contienen identidades, aplicaciones, información sensible y datos corporativos.
Por eso, la estrategia de defensa debe contemplar dos momentos:
Antes del compromiso: reducir la superficie de ataque, mantener los sistemas actualizados, aplicar controles de acceso y monitorizar los activos expuestos.
Después de una posible explotación: detectar actividad anómala, investigar indicadores de compromiso, proteger credenciales y sesiones, contener el movimiento lateral y responder rápidamente.
La ventana de oportunidad del atacante también es una ventana de oportunidad para defenderse
Las vulnerabilidades CVE-2026-88771 y CVE-2026-88772 demuestran nuevamente por qué los dispositivos expuestos a Internet requieren una atención prioritaria.
Con una puntuación CVSS de 9.5, explotación activa y evidencia de técnicas diseñadas para acceder más allá del dispositivo comprometido, el mensaje para las organizaciones es sencillo:
No basta con saber que existe una vulnerabilidad. Hay que saber si ya fue explotada.
Actualizar NetScaler es un paso fundamental. Pero verificar el entorno, investigar posibles indicios de compromiso y evaluar qué pudo ocurrir después de una intrusión es igual de importante.
Porque cuando el perímetro cae, la verdadera batalla comienza dentro de la red.
Phishing en tu correo electrónico
