Primero fueron llamadas telefónicas sin explicación. Proveedores de IT, CERTs nacionales y hasta cuerpos policiales marcando a sus clientes el fin de semana con un mensaje incómodo por lo escueto: apaguen sus NetScaler, ahora, y no podemos decirles por qué. Treinta y seis horas después, el 27 de septiembre, Citrix publicó el boletín CTX697096 y el rumor tuvo nombre: dos vulnerabilidades de ejecución remota de código, ambas CVSS v4 9.5, explotadas como zero-day contra appliances expuestos a internet.
Qué pasó
La secuencia importa, porque explica por qué mucha gente se enteró por Reddit antes que por su vendor.
Sábado 26 de septiembre. Administradores de Citrix empiezan a reportar en foros que alguien de fuera les está pidiendo bajar los equipos. La cita que mejor captura el desconcierto la recogió BleepingComputer:
"Recibimos una llamada del equipo de seguridad de nuestro proveedor de IT; no pudieron darnos ningún detalle, pero nos aconsejaron apagar nuestros NetScaler de inmediato."
No era un caso aislado: otros administradores describieron contactos de fuerzas del orden, CERTs y agencias nacionales de ciberseguridad sobre el mismo asunto. Ese patrón —aviso privado, coordinado, sin detalle técnico— es la firma de un zero-day que ya está siendo usado y cuyo conocimiento se está conteniendo mientras el fabricante prepara el fix.
Ese mismo día, la firma watchTowr lo hizo público con una advertencia deliberadamente medida:
"Estamos reaccionando rápidamente a rumores de que múltiples vulnerabilidades RCE sin parchar en Citrix NetScaler están circulando en el mundo real. Aunque los detalles son escasos, la información es creíble."
Dijeron haberla verificado con fuentes autorizadas. No publicaron CVEs ni PoC.
Domingo 27 de septiembre. Citrix publica el boletín. Confirma explotación activa de dos fallas y libera parches, junto con correcciones para otras seis. La frase oficial es tan corta como definitiva: "Se han observado exploits de CVE-2026-88771 y CVE-2026-88772 en despliegues NetScaler no mitigados". Citrix no dijo cuántas víctimas, quién está detrás, ni desde cuándo. Tampoco confirmó si sus dos CVEs son exactamente las que describió watchTowr, aunque el relato coincide.
Por qué importa
Un NetScaler no es un servidor más. Es la puerta: publica el VPN y el acceso remoto, balancea las aplicaciones y autentica a los usuarios. Vive, por diseño, con una pata en internet y la otra en la red interna.
Eso convierte cada RCE preauth en este producto en un atajo a la fase que normalmente le cuesta más trabajo a un atacante. No hay que mandar phishing, no hay que ganar un endpoint, no hay que esperar a que alguien abra un adjunto: se toca el perímetro y se está dentro, con credenciales y sesiones de VPN pasando por el mismo equipo que acabas de controlar. La historia reciente de este producto —CitrixBleed y sus secuelas— muestra el guion siguiente: robo de sesiones, movimiento lateral y, con demasiada frecuencia, ransomware semanas después.
Hay tres agravantes que hacen este boletín peor que un crítico rutinario:
1. Configuración por defecto. CVE-2026-88771 afecta todos los despliegues de NetScaler ADC y Gateway en versión vulnerable, incluidos los que están en configuración default. No hay feature exótico que desactivar para estar a salvo; si el equipo corre una build afectada, está en el rango. CVE-2026-88772 requiere DTLS, pero DTLS viene habilitado por defecto en los VPN virtual servers: cualquier Gateway funcionando como SSL VPN está expuesto salvo que alguien lo haya apagado explícitamente.
2. Parchar en agosto no sirvió. Las builds 14.1-73.32 y 13.1-63.21 —precisamente las que cerraron el bypass de autenticación CVE-2026-19490 explotado en agosto— caen dentro del rango afectado. Quien hizo la tarea hace seis semanas y cerró el ticket vuelve a estar en la fila.
3. Sin workaround y sin IOCs. El boletín no ofrece mitigación temporal ni indicadores de compromiso. Para un SOC eso significa que no hay nada que meter al SIEM para buscar hacia atrás: la única contramedida es actualizar, y la única forma de saber si ya te pasó es investigar el appliance a mano.
Y un detalle de ciclo de vida que va a doler en varios inventarios: la rama 13.1 alcanzó su End of Maintenance el 15 de septiembre. El parche llegó doce días después de que la rama dejara de tener mantenimiento. Citrix lo liberó de todos modos, pero la lectura para quien sigue ahí es clara: esta vez hubo fix, la próxima no está garantizado.
El detalle técnico
Las dos explotadas:
- CVE-2026-88771 — CVSS v4 9.5. Validación de entrada incorrecta que permite a un atacante no autenticado ejecutar comandos arbitrarios. Alcance: todos los despliegues en versión afectada, sin requisito de configuración adicional. Esta es la que quita el sueño: preauth, universal, y en el equipo que sostiene el acceso remoto.
- CVE-2026-88772 — CVSS v4 9.5. Memory overflow que deriva en RCE o denegación de servicio. Condición: DTLS habilitado, que es el default en VPN virtual servers.
Las otras seis del boletín, que Citrix no reporta como explotadas pero que vienen en el mismo paquete:
| CVE | CVSS v4 | Falla | Cuándo aplica | | --- | --- | --- | --- | | CVE-2026-88773 | 9.3 | HTTP request smuggling | vservers de load balancing, content switching, VPN o authentication tipo HTTP/SSL | | CVE-2026-88774 | 7.0 | Bypass de política | cualquier política con expresión basada en URL HTTP | | CVE-2026-88775 | 8.8 | Memory overflow (comportamiento impredecible / DoS) | Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o vserver AAA | | CVE-2026-88776 | 8.8 | Memory overflow | load balancing tipo Oracle | | CVE-2026-88777 | 8.8 | Memory overflow | LB, content switching o CGNAT-LSN/NAT64 con feature L7 no-HTTP (FTP, RTSP, DNS64) | | CVE-2026-88778 | 8.8 | Predicción de TCP ISN | vservers TCP (HTTP, SSL, TCP) con Enhanced ISN Generation deshabilitado |
La 88773 merece un asterisco: un 9.3 de request smuggling en el dispositivo que hace de front-end de tus aplicaciones es, en la práctica, una vía para saltarse controles de acceso que creías aplicados en el borde. Y la 88778 es la única con acción de configuración propia: Citrix recomienda habilitar Enhanced ISN Generation en los appliances afectados.
Versiones con fix, para copiar al ticket de cambio:
- NetScaler ADC y Gateway 14.1-73.37 y posteriores
- NetScaler ADC y Gateway 13.1-64.23 y posteriores de 13.1
- NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS y posteriores
- NetScaler ADC 13.1-FIPS / 13.1-NDcPP 13.1-37.279 y posteriores
El boletín cubre appliances gestionados por el cliente, incluidas las instancias NetScaler usadas en despliegues Secure Private Access Hybrid. Los servicios cloud de Citrix y el Adaptive Authentication gestionado por Citrix los actualiza el propio fabricante.
Qué hacer
En este orden, hoy mismo:
- Inventario honesto. Lista todos los NetScaler ADC y Gateway con interfaz expuesta, incluyendo los que "ya no usa nadie", los de laboratorio y los FIPS. Si parchaste en agosto, asume que sigues vulnerable: verifica build exacta contra la tabla de arriba.
- Actualiza. Es la única mitigación. No hay workaround.
- Si no puedes actualizar en cuestión de horas, considera bajar el servicio. Es exactamente lo que recomendaban los CERTs el fin de semana. Un VPN caído un par de horas es más barato que un incidente.
- Como paliativo parcial mientras parchas, evalúa deshabilitar DTLS en los VPN virtual servers (cierra la 88772, no la 88771) y habilitar Enhanced ISN Generation (88778). Ninguno de los dos te salva de la falla principal.
- Rota credenciales y mata sesiones después de parchar. En este producto, la lección de CitrixBleed es que el parche no expulsa al que ya entró: sesiones persistentes y secretos capturados sobreviven al update.
- Caza compromiso sin IOCs. Revisa cambios en configuración y usuarios del appliance, shells o binarios nuevos, tareas programadas, salidas de red inusuales desde el NetScaler hacia internet y accesos de VPN con geografía o horario raros en los últimos siete días. El equipo comprometido casi nunca es el destino final: busca también autenticaciones anómalas hacia AD e infraestructura interna.
- Prepárate para el efecto retardado. Si el patrón se repite, el exploit se comoditiza en días y la explotación masiva llega cuando la noticia ya dejó de ser tendencia. Tener el ticket cerrado esta semana no es urgencia manufacturada, es la ventana real.
Nada de esto es exótico. Lo notable del caso es cuánto tiempo estuvo el conocimiento circulando por canales privados —proveedores, CERTs, llamadas sin detalle— antes de existir públicamente. Si tu organización no está en ninguna de esas listas de contacto, tu primer aviso fue el boletín. Vale la pena preguntarse hoy, con calma, quién te habría llamado.