{"id":70093,"date":"2026-09-28T07:25:41","date_gmt":"2026-09-28T07:25:41","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=70093"},"modified":"2026-09-28T07:25:41","modified_gmt":"2026-09-28T07:25:41","slug":"cisa-parche-citrix-netscaler-70093","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/cisa-parche-citrix-netscaler-70093\/","title":{"rendered":"CISA ordena parchear dos fallos cr\u00edticos de Citrix explotados"},"content":{"rendered":"

El pasado fin de semana, la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA<\/a>) emiti\u00f3 una orden directa y urgente a todas las agencias gubernamentales federales: parchear de inmediato dos vulnerabilidades cr\u00edticas de d\u00eda cero en los appliances Citrix NetScaler<\/a> que ya est\u00e1n siendo explotadas activamente por actores de amenazas. La directiva, que se enmarca en la Orden Operativa Vinculante (BOD) 26-04, exige que las agencias del Poder Ejecutivo Civil Federal (FCEB) aseguren todos los sistemas vulnerables antes del 30 de septiembre, un plazo de apenas tres d\u00edas que refleja la gravedad de la amenaza y el ritmo al que los atacantes est\u00e1n actuando.<\/p>\n

Dos vulnerabilidades cr\u00edticas de ejecuci\u00f3n remota de c\u00f3digo en NetScaler: CVE-2026-88771 y CVE-2026-88772<\/h2>\n

Las fallas en cuesti\u00f3n, identificadas como CVE-2026-88771<\/strong> y CVE-2026-88772<\/strong>, afectan a los productos Citrix NetScaler ADC y NetScaler Gateway. Ambas permiten que un atacante no autenticado logre ejecuci\u00f3n remota de c\u00f3digo (RCE) en el appliance vulnerable, un nivel de acceso que puede comprometer completamente la red interna de una organizaci\u00f3n. La primera vulnerabilidad afecta a todas las implementaciones de NetScaler ADC y NetScaler Gateway con configuraciones por defecto, mientras que la segunda requiere que el protocolo DTLS est\u00e9 habilitado, algo que Citrix ha confirmado que est\u00e1 activado por defecto en los servidores virtuales VPN.<\/p>\n

La posibilidad de que un atacante externo, sin necesidad de credenciales, pueda ejecutar c\u00f3digo arbitrario en un dispositivo que gestiona el acceso remoto y la entrega de aplicaciones cr\u00edticas sit\u00faa a estas vulnerabilidades en la categor\u00eda de \u00abparchear ahora o sufrir las consecuencias\u00bb. No es una exageraci\u00f3n: la propia Citrix confirm\u00f3 la explotaci\u00f3n activa de ambas fallas en ataques de d\u00eda cero, instando a los clientes a aplicar los parches de seguridad de inmediato.<\/p>\n

La secuencia de eventos: del aviso privado a la orden gubernamental<\/h2>\n

Lo que hace particularmente grave esta situaci\u00f3n es la cadena de eventos que precedi\u00f3 al anuncio p\u00fablico. D\u00edas antes de que Citrix publicara los parches, agencias nacionales de ciberseguridad, proveedores de TI y equipos de seguridad comenzaron a contactar de forma privada a los clientes de Citrix, aconsej\u00e1ndoles que apagaran sus appliances NetScaler. El Centro Nacional de Ciberseguridad de los Pa\u00edses Bajos (NCSC-NL<\/a>), por ejemplo, advirti\u00f3 a las organizaciones neerlandesas sobre dos vulnerabilidades de d\u00eda cero en NetScaler que, en ese momento, ni siquiera ten\u00edan asignados identificadores CVE. La advertencia era clara y dr\u00e1stica: los atacantes ya estaban insertando shellcode directamente en la memoria de los dispositivos.<\/p>\n

El domingo, Citrix rompi\u00f3 el silencio p\u00fablico confirmando la explotaci\u00f3n activa y publicando los parches necesarios. Ese mismo d\u00eda, CISA a\u00f1adi\u00f3 ambas vulnerabilidades a su cat\u00e1logo de Vulnerabilidades Explotadas Conocidas (KEV), un movimiento que desencadena autom\u00e1ticamente la obligaci\u00f3n de parchear para las agencias federales. La rapidez con la que se sucedieron estos eventos subraya una realidad inc\u00f3moda: los atacantes est\u00e1n movi\u00e9ndose m\u00e1s r\u00e1pido que nunca, y el tiempo de reacci\u00f3n de las organizaciones se mide en horas, no en d\u00edas.<\/p>\n

Indicadores de compromiso: una herramienta de valor forense limitado<\/h2>\n

Para ayudar a las organizaciones a determinar si ya han sido comprometidas, Citrix ha compartido lo que denomina \u00abIndicadores de Compromiso (IoC) gen\u00e9ricos\u00bb a trav\u00e9s de NetScaler Console. Sin embargo, la propia compa\u00f1\u00eda ha sido cautelosa, advirtiendo que estos IoC \u00abpodr\u00edan tener un valor forense limitado y podr\u00edan no identificar compromisos reales\u00bb. En su lugar, Citrix recomienda \u00abre tener los servicios de investigadores forenses experimentados\u00bb.<\/p>\n

Esta advertencia es crucial. Los IoC proporcionados son gen\u00e9ricos por naturaleza, lo que significa que un atacante sofisticado podr\u00eda haberlos evadido f\u00e1cilmente. Las organizaciones no deben confiar \u00fanicamente en estas se\u00f1ales para descartar una infecci\u00f3n. La recomendaci\u00f3n de Citrix de preservar la evidencia forense antes de aplicar los parches es igualmente importante, ya que la actualizaci\u00f3n del sistema podr\u00eda eliminar rastros cr\u00edticos de la actividad del atacante, dificultando o imposibilitando una investigaci\u00f3n posterior.<\/p>\n

La superficie de ataque global: m\u00e1s de 23.000 dispositivos expuestos<\/h2>\n

Para dimensionar la magnitud del problema, el grupo de vigilancia de amenazas Shadowserver rastrea actualmente m\u00e1s de 23.000 direcciones IP con huellas de NetScaler expuestas en Internet. De estas, casi 22.000 corresponden a appliances NetScaler ADC y algo m\u00e1s de 1.500 a instancias de NetScaler Gateway. Sin embargo, es importante se\u00f1alar que estos n\u00fameros no discriminan entre honeypots, dispositivos ya parcheados o configuraciones vulnerables. Aun as\u00ed, la cifra pinta un panorama inquietante: hay una vasta superficie de ataque disponible para los ciberdelincuentes, y cada dispositivo no parcheado es una puerta abierta a la red corporativa.<\/p>\n

Un patr\u00f3n preocupante: Citrix, un objetivo recurrente para los atacantes<\/h2>\n

Estas dos vulnerabilidades no son incidentes aislados, sino parte de un patr\u00f3n sistem\u00e1tico y creciente de ataques contra la infraestructura de Citrix. Desde noviembre de 2021, CISA ha se\u00f1alado 26 vulnerabilidades de Citrix explotadas activamente, de las cuales seis han sido utilizadas por bandas de ransomware. El historial reciente es elocuente:<\/p>\n