Por qué Citrix NetScaler sigue siendo vulnerado

Citrix NetScaler, el appliance que antes se vendía como Citrix ADC, ha estado en el centro de tantas oleadas de explotación masiva que «otro zero-day de NetScaler» ya casi no sorprende a nadie. Esa familiaridad es la noticia. La razón por la que la misma caja sigue cayendo no es la mala suerte ni un fallo descuidado: es estructural, y en cuanto ves la estructura puedes predecir el siguiente.

Actualización (28 de septiembre de 2026): los rumores se concretaron en un aviso del fabricante. El 27 de septiembre, Citrix publicó CTX697096, que corrige ocho fallos de NetScaler ADC/Gateway, dos de ellos explotados como zero-days: CVE-2026-88771, una inyección de comandos sin autenticación (CVSS 9.5) que afecta a la configuración por defecto y se ejecuta como root, y CVE-2026-88772, un RCE por desbordamiento de memoria en DTLS (CVSS 9.5). Citrix recomendó desconectar los appliances expuestos sin parchear hasta actualizarlos (versiones corregidas: 14.1-73.37, 13.1-64.23 y las versiones FIPS/NDcPP). Explicamos cómo funciona el mecanismo de envenenamiento de logs hasta root de CVE-2026-88771, y la remediación, en Citrix NetScaler CVE-2026-88771: una inyección de comandos previa a la autenticación →. Es la misma historia estructural que se describe abajo, un número de CVE después.

Antes en esta oleada: los reportes también confirmaron ataques activos contra un fallo crítico de omisión de autenticación (CVE-2026-19490, CVSS 9.3), con organizaciones y organismos públicos apagando por completo sus dispositivos NetScaler. Los fundamentos de abajo no cambian con el número de CVE.

El patrón, en CVE

No es un problema nuevo. La misma familia de appliances ha producido una cadencia constante de críticos alcanzables desde internet sin autenticación, la mayoría añadidos al catálogo Known Exploited Vulnerabilities de CISA:

• CVE-2019-19781 («Shitrix»): un fallo de ejecución remota de código por path traversal en Citrix ADC/Gateway, explotado masivamente a principios de 2020.
• CVE-2023-3519: un RCE sin autenticación explotado como zero-day a mediados de 2023.
• CVE-2023-4966 («CitrixBleed»): una lectura fuera de límites que filtra tokens de sesión; explotado a escala, también por bandas de ransomware.
• CVE-2025-5777 («CitrixBleed 2»): la misma clase de divulgación de memoria que filtra tokens, reabierta en 2025 y añadida a KEV en cuestión de días.
• CVE-2025-6543 y CVE-2025-7775: más críticos previos a la autenticación (desbordamiento de memoria y RCE sin autenticación) explotados activamente.
• CVE-2026-8451 y CVE-2026-19490: la oleada de 2026; la omisión de autenticación CVE-2026-19490 está confirmada como explotada, con ataques observados a un día de las divulgaciones relacionadas.
• CVE-2026-88771 («the foot gun again») y CVE-2026-88772: el lote CTX697096 de septiembre de 2026; una inyección de comandos previa a la autenticación (9.5, configuración por defecto, se ejecuta como root) y un RCE por desbordamiento de memoria en DTLS (9.5), ambos explotados como zero-days antes de que llegara la corrección.

Lee esa lista de arriba abajo y se repiten las mismas tres palabras: previo a la autenticación, expuesto a internet, seguridad de memoria. Seguimos esta recurrencia en el ranking de riesgo de fabricantes por CVSS →, donde la puntuación de fragilidad de Citrix refleja justamente esta densidad de explotación y no el recuento bruto de CVE.

Por qué NetScaler en concreto: el tema de fondo

Muchos fabricantes publican fallos. NetScaler sigue siendo vulnerado por cinco factores que se suman:

• Es la puerta de entrada del acceso remoto. NetScaler termina sesiones de VPN, proxy ICA y gateway. Un fallo sin autenticación no le da al atacante un punto de apoyo en algún borde de poco valor: le da el concentrador de acceso remoto, a menudo un camino directo a la red interna. Sin phishing y sin interacción del usuario.
• No puedes instalarle EDR. Es un appliance cerrado, no un servidor que controles. Los defensores no pueden instalar un agente de endpoint, así que las webshells, los implantes y las sesiones reutilizadas son mucho más difíciles de ver que en un host normal. La caja es un punto ciego por diseño.
• Está en las redes de más valor. Gobiernos, sanidad, finanzas y grandes empresas usan NetScaler como su capa de acceso remoto. Eso concentra el retorno de inversión del atacante: un exploit fiable de NetScaler abre una sala llena justo de las organizaciones que vale la pena vulnerar.
• La clase de fallo se repite. Los fallos más sonados son problemas de seguridad de memoria (lecturas fuera de límites y desbordamientos de búfer) en código C que analiza entradas controladas por el atacante antes de la autenticación. «CitrixBleed» y «CitrixBleed 2» son la misma categoría de herida con dos años de diferencia. Corriges una instancia y el código de análisis que la rodea sigue invitando a la siguiente.
• La ventana de parcheo es brutalmente corta. El código de prueba de concepto y el escaneo masivo de internet llegan ahora en días, a veces en horas, tras la divulgación. La distancia entre «aviso publicado» y «todo el que no parcheó está comprometido» se mide contra reloj, y por eso este mes la recomendación escaló hasta «apaga los dispositivos».

La lección de CitrixBleed: parchear no es remediar

La conclusión operativa más importante de toda esta saga vino del CitrixBleed original. La vulnerabilidad filtraba tokens de sesión. Un token robado antes de parchear sigue funcionando después del parche: la corrección cierra la fuga, pero no invalida lo que ya se filtró. Organizaciones que parchearon y pasaron página siguieron sufriendo secuestros mediante sesiones válidas reutilizadas, con el MFA eludido.

Así que la remediación de cualquier CVE de NetScaler explotado no es solo «instala la actualización». Es: instala la actualización y después termina todas las sesiones activas, rota las credenciales y secretos que manejó el appliance y busca webshells e inicios de sesión autenticados anómalos. Asume que la caja estuvo comprometida durante la ventana de exposición y trabaja hacia atrás desde ahí.

El panorama general: los appliances de borde son la nueva brecha de perímetro

Nada de esto es exclusivo de Citrix. El mismo guion se ha repetido en Ivanti Connect Secure (lo más reciente, una cadena zero-day de tres fallos hasta root que CISA añadió a KEV en octubre de 2026), Fortinet FortiOS/FortiGate, Palo Alto PAN-OS/GlobalProtect y Cisco ASA: appliances de seguridad y acceso expuestos a internet, opacos, alcanzables sin autenticación y desplegados en todas partes. La industria pasó una década endureciendo endpoints y correo, y los atacantes respondieron entrando por el gateway que está delante de todo eso. El appliance de borde es ahora el perímetro, y es la joya de la corona más blanda que tienen la mayoría de las organizaciones.

Qué hacer de verdad

• Reduce la exposición. No expongas el plano de gestión a internet. Limita el gateway a quien de verdad lo necesita, ponle listas de permitidos donde puedas y desactiva las funciones que no uses (son superficie de ataque).
• Parchea con reloj de emergencia. Para appliances expuestos a internet, «parchear en 30 días» es un plan de brecha. Cuando llegue un aviso de NetScaler, trátalo como algo del mismo día. Si no puedes parchear, la mitigación del fabricante o desconectar el dispositivo puede ser de verdad la decisión correcta, como lo fue este mes.
• Asume compromiso tras cualquier CVE explotado. Parchea, luego rota todos los secretos y sesiones y busca indicios. No dejes que «ya parcheamos» se convierta en «estamos bien».
• Segmenta el appliance. Un gateway comprometido no debería ser un camino plano hasta tus controladores de dominio. La segmentación de red y las cuentas de servicio con mínimo privilegio limitan el radio de impacto.
• Monitorea lo que no admite agente. Vigila los logs de autenticación, el tráfico de salida del appliance y las anomalías de sesión. La caja es un punto ciego, así que instrumenta todo lo que la rodea.

Dimensiona la exposición de tu propio borde con el ranking de riesgo de fabricantes por CVSS, mapea el radio de impacto de la identidad de acceso remoto con la calculadora de riesgo de identidad → y ensaya el escenario «el gateway está comprometido y los tokens andan sueltos» antes de que sea real con la herramienta de preparación ante ransomware y la evaluación NIST CSF.

Preguntas frecuentes

¿Por qué NetScaler sigue siendo explotado? Es un gateway de acceso remoto expuesto a internet y alcanzable sin autenticación; no puedes ejecutar EDR en él; se despliega en objetivos de alto valor; y la clase de fallo recurrente son errores de seguridad de memoria en código de análisis previo a la autenticación.

¿CitrixBleed frente a CitrixBleed 2? CVE-2023-4966 y CVE-2025-5777 son la misma clase de lectura de memoria fuera de límites que filtra tokens de sesión y permite secuestrar sesiones eludiendo el MFA: la misma herida, con dos años de diferencia.

¿Basta con parchear? No. Los tokens de sesión filtrados sobreviven al parche. Termina sesiones, rota secretos y busca indicios tras cualquier CVE explotado.

¿Y los appliances de borde en general? Trata igual todo appliance expuesto a internet (Ivanti, Fortinet, Palo Alto, Cisco ASA): minimiza la exposición, parchea el mismo día, asume compromiso, segmenta y monitorea alrededor del punto ciego.