NetScaler puede convertirse en la puerta de entrada.

¿Qué está ocurriendo con Citrix NetScaler?

Las dos vulnerabilidades afectan a productos utilizados habitualmente para proporcionar acceso remoto y servicios de entrega de aplicaciones.

El riesgo aumenta porque los dispositivos NetScaler suelen encontrarse directamente expuestos a Internet. Si un atacante consigue explotarlos, puede obtener una posición privilegiada desde la cual intentar avanzar hacia otros recursos de la organización.

Las vulnerabilidades identificadas son:

CVE-2026-88771 — CVSS 9.5

Se trata de una vulnerabilidad relacionada con una validación incorrecta de entradas que puede permitir a un atacante no autenticado ejecutar comandos arbitrarios.

En otras palabras, el atacante no necesita contar previamente con credenciales válidas para intentar aprovechar la vulnerabilidad.

CVE-2026-88772 — CVSS 9.5

La segunda vulnerabilidad corresponde a un desbordamiento de memoria que puede provocar ejecución remota de código o una condición de denegación de servicio.

Esta vulnerabilidad está asociada a dispositivos con DTLS habilitado, una configuración especialmente relevante porque DTLS está habilitado de forma predeterminada para los servidores virtuales VPN.

El verdadero riesgo: NetScaler como puente hacia la red interna

Aquí es donde el escenario se vuelve especialmente preocupante.

Los investigadores no solo observaron la explotación de las vulnerabilidades. También identificaron el uso de web shells y herramientas de tunelización.

La tunelización permite redirigir tráfico a través de un dispositivo comprometido. Desde la perspectiva del atacante, esto puede convertir un NetScaler expuesto a Internet en una especie de puente hacia recursos que originalmente no estaban disponibles desde el exterior.

Imaginemos el escenario:

Internet → NetScaler vulnerable → acceso inicial → túnel → red interna

Por eso, limitar el análisis a “¿el servidor fue comprometido?” puede ser insuficiente.

La pregunta debería ser:

“Si este dispositivo fue comprometido, ¿hasta dónde pudo llegar el atacante?”

Una vez conseguido el acceso, los atacantes pueden intentar descubrir sistemas internos, acceder a recursos adicionales, robar credenciales o mantener persistencia dentro del entorno.

Más de 50,000 instancias podrían estar expuestas

El alcance potencial de la campaña también resulta preocupante.

Hasta el 27 de septiembre, Palo Alto Networks había identificado más de 50,277 instancias de NetScaler expuestas a Internet que podrían ser vulnerables.

Además, el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) informó haber recibido información sobre estas vulnerabilidades a través de un socio europeo y señaló actividad de explotación contra clientes de Citrix en diferentes partes del mundo.

Esto cambia completamente la prioridad.

No estamos ante una vulnerabilidad que simplemente deba añadirse a la próxima ventana de mantenimiento.

Existe evidencia de explotación activa.

Y cuando un dispositivo de acceso remoto está involucrado, el tiempo entre la explotación inicial y el movimiento hacia otros sistemas puede ser crítico.

¿Qué versiones de NetScaler están afectadas?

Las vulnerabilidades afectan a diferentes ramas de NetScaler ADC y NetScaler Gateway:

• NetScaler 14.1

• NetScaler 13.1

• NetScaler 14.1 FIPS

• NetScaler 13.1 FIPS/NDcPP

Un aspecto especialmente importante es que CVE-2026-88771 afecta a todas las implementaciones de NetScaler ADC y NetScaler Gateway y no requiere que se active una función adicional.

En el caso de CVE-2026-88772, el riesgo está asociado a implementaciones con DTLS habilitado. Dado que esta configuración está habilitada de forma predeterminada para servidores virtuales VPN, los entornos NetScaler Gateway deben considerarse especialmente relevantes.

¿Qué deben hacer las organizaciones?

La prioridad parchear cuando antes.

Producto / versión Versión corregida

NetScaler ADC / Gateway 14.1 14.1-73.37 o posterior

NetScaler ADC / Gateway 13.1 13.1-64.23 o posterior

NetScaler ADC 14.1 FIPS 14.1-73.37 FIPS o posterior

NetScaler ADC 13.1 FIPS / NDcPP 13.1-37.279 o posterior

Sin embargo, aplicar el parche no sería el unico paso.

¿Y si el atacante ya estaba dentro antes de instalar el parche?

Antes o durante el proceso de remediación, las organizaciones deberían revisar los avisos de Citrix y buscar indicadores de compromiso relacionados con la explotación.

También es importante investigar:

• Actividad sospechosa en los dispositivos NetScaler.

• Presencia de web shells.

• Herramientas o conexiones de tunelización inesperadas.

• Conexiones anómalas desde NetScaler hacia sistemas internos.

• Cambios no autorizados en configuraciones.

• Credenciales potencialmente expuestas.

• Sesiones activas que pudieran haber sido comprometidas.

• Actividad posterior a la explotación.

Si existe evidencia de compromiso, la respuesta debe ir más allá de actualizar el dispositivo.

Puede ser necesario revisar credenciales, sesiones, accesos privilegiados y actividad lateral dentro de la red.

NetScaler es el objetivo. La organización completa puede ser el premio

Este incidente deja una lección importante para cualquier organización que utilice dispositivos de acceso remoto expuestos a Internet.

El riesgo de una vulnerabilidad crítica no se limita al componente afectado.

Un atacante puede utilizar ese primer punto de entrada para intentar avanzar hacia sistemas que contienen identidades, aplicaciones, información sensible y datos corporativos.

Por eso, la estrategia de defensa debe contemplar dos momentos:

Antes del compromiso: reducir la superficie de ataque, mantener los sistemas actualizados, aplicar controles de acceso y monitorizar los activos expuestos.

Después de una posible explotación: detectar actividad anómala, investigar indicadores de compromiso, proteger credenciales y sesiones, contener el movimiento lateral y responder rápidamente.

La ventana de oportunidad del atacante también es una ventana de oportunidad para defenderse

Las vulnerabilidades CVE-2026-88771 y CVE-2026-88772 demuestran nuevamente por qué los dispositivos expuestos a Internet requieren una atención prioritaria.

Con una puntuación CVSS de 9.5, explotación activa y evidencia de técnicas diseñadas para acceder más allá del dispositivo comprometido, el mensaje para las organizaciones es sencillo:

No basta con saber que existe una vulnerabilidad. Hay que saber si ya fue explotada.

Actualizar NetScaler es un paso fundamental. Pero verificar el entorno, investigar posibles indicios de compromiso y evaluar qué pudo ocurrir después de una intrusión es igual de importante.

Porque cuando el perímetro cae, la verdadera batalla comienza dentro de la red.