El fin de semana que los administradores recibieron llamadas para apagar sus VPN
Hay avisos de seguridad que llegan como boletín y avisos que llegan como llamada de teléfono. Los dos zero-days de Citrix NetScaler confirmados este fin de semana son del segundo tipo: administradores reportaban que equipos de seguridad, CERTs e incluso agencias nacionales de ciberseguridad los contactaban en privado para decirles, sin muchos detalles, que apagaran sus NetScaler de inmediato. Sin CVE, sin parche, sin boletín. Solo: sácalo de la línea.
La historia terminó de confirmarse cuando Citrix publicó el boletín CTX697096: dos vulnerabilidades de ejecución remota de código, CVE-2026-88771 y CVE-2026-88772, ambas con puntaje 9.5, ambas explotadas en ataques reales como zero-days. La primera es validación de entrada mal hecha: un atacante no autenticado ejecuta comandos arbitrarios, y afecta todas las instalaciones de NetScaler ADC y Gateway, incluso con configuración por defecto. La segunda es un desbordamiento de memoria que permite RCE o denegación de servicio, y se explota cuando DTLS está habilitado, que viene activado por defecto en los servidores VPN virtuales. O sea: la configuración típica de acceso remoto es exactamente la que está en riesgo.
Por qué el perímetro es el botín favorito
Un NetScaler no es un servidor más: es un aparato que vive mirando a internet para dar acceso remoto a la red interna. Comprometerlo le da al atacante un punto de apoyo en el borde de la red, con camino hacia los sistemas internos, sin necesidad de comprometer ni un solo endpoint. Es el atajo perfecto: saltarse toda la cadena de phishing, malware y robo de credenciales, y entrar directo por la puerta que la empresa misma abrió para que su gente trabajara remoto.
No es la primera vez y no será la última. F5 BIG-IP, SonicWall, Ivanti: la lista de appliances de borde con zero-days explotados se repite año tras año. El patrón es siempre el mismo: equipos que nadie actualiza con la misma disciplina que los servidores del datacenter, porque si funciona, no se toca.
El dilema del parche que baja servicios
Lo más interesante es cómo se manejó la divulgación. El centro de ciberseguridad de Países Bajos (NCSC-NL) envió pre-notificaciones antes del anuncio público, y la razón que dieron es honesta y muy conocida por cualquiera que administre infraestructura: actualizar NetScaler puede causar downtime. El aviso anticipado existía para que las organizaciones prepararan ventanas de mantenimiento en vez de improvisar a las 3 de la mañana con la VPN caída y media empresa sin poder trabajar.
Ese balance entre exposición y disponibilidad es la decisión incómoda de todos los días en esta pega. Citrix, por su parte, descubrió las vulnerabilidades investigando incidentes en ambientes de clientes y las reportó bajo el Cyber Resilience Act de la Unión Europea. El modelo de divulgación está cambiando: menos boletín sorpresa y más aviso coordinado, aunque de vez en cuando termine siendo un apágalo ya sin contexto.
Lo que haría yo esta semana
Si tienes un NetScaler expuesto a internet, la lista es corta: revisa si tu build está en el rango afectado (14.1 antes de 14.1-73.37 y 13.1 antes de 13.1-64.23, entre otros), agenda el parche para ya y no para el próximo trimestre, y mientras tanto reduce la exposición a internet lo que la operación permita. Y aunque no tengas Citrix en ninguna parte, la lección sirve igual: hazte un inventario real de los aparatos con puerto abierto mirando a internet, porque el próximo boletín de este tipo va a llevar el nombre de otro fabricante, y el tiempo entre el aviso privado y la explotación masiva cada vez es más corto.
Mi regla después de años administrando servidores con servicios expuestos: todo lo que mira a internet tiene fecha de vencimiento. O le pasas el parche cuando toca, o algún día alguien entra por la puerta que olvidaste cerrar.
Fuente: Citrix confirms two NetScaler RCE zero-days exploited in attacks, de BleepingComputer.
Fuente de inspiración: Citrix confirms two NetScaler RCE zero-days exploited in attacks
