Ocho fallas nuevas en Citrix NetScaler, dos ya explotadas como zero-day

CISA sumó dos de las ocho vulnerabilidades a su catálogo KEV como RCE críticos bajo explotación activa global. Cinco fuentes lo confirman de forma independiente, dos de ellas primarias.

Qué pasó

Citrix publicó un aviso de seguridad con ocho CVEs nuevas que afectan NetScaler ADC y NetScaler Gateway: CVE-2026-88771, -88772, -88773, -88774, -88775, -88776, -88777 y -88778. CISA amplificó el aviso y, de esas ocho, incorporó CVE-2026-88771 y CVE-2026-88772 a su catálogo KEV, calificándolas como críticas, de tipo zero-day, y con capacidad de ejecución remota de código de forma independiente cada una (es decir, no requieren encadenarse entre sí para lograr RCE).

Según CISA, la agencia recibió reportes propios y de socios de inteligencia de amenazas que confirman explotación activa a nivel global, antes de que existiera un parche disponible para el público general al momento de la alerta original (27 de septiembre). Citrix no ha publicado en la fuente citada la matriz completa de versiones afectadas ni el vector técnico exacto de explotación; tratamos ambos como pendientes de verificación y no los inventamos aquí.

Un medio de la corroboración (unaaldia, no primario) reporta que CISA fijó como plazo el 30 de septiembre de 2026 para el parcheo. Ese plazo corresponde a la directiva de remediación (BOD 22-01) para agencias federales estadounidenses — no es una obligación para organizaciones chilenas, pero es una señal clara de la urgencia que le asigna el organismo.

Sobre la corroboración

El cruce automático encontró 5 fuentes distintas que calzan por CVE o producto (CISA, The Hacker News, unaaldia, CSA Labs, Segu-Info), de las cuales 2 son primarias (CISA y CSA Labs): llegaron al hallazgo por su cuenta, no citando a un tercero. Con ese cruce, suficiente_para_afirmar viene en true: hay base para escribir que la explotación activa es un hecho reportado de forma independiente por más de una fuente que investiga por su cuenta, no una cadena de citas del mismo comunicado.

Por qué importa acá

No tenemos ninguna entidad chilena identificada como afectada en las fuentes disponibles al momento de esta nota. Lo que sí podemos evaluar:

Evaluación (confianza media) — NetScaler ADC y Gateway están entre los productos de borde con mayor presencia histórica en el mercado chileno para VPN de acceso remoto y balanceo de aplicaciones críticas, particularmente en banca, telecomunicaciones y reparticiones públicas. Lo que confirmaría esto: un escaneo de exposición (Shodan/Censys) sobre rangos IP chilenos filtrando por firma de NetScaler, que no ejecutamos para esta nota. Lo que lo refutaría: que el parque instalado local sea menor al que asumimos, algo que no podemos descartar sin ese dato.

La razón por la que esto pesa más que un CVE cualquiera: NetScaler suele estar en el borde de la red, expuesto a Internet por diseño (es la puerta de la VPN), y un RCE no autenticado ahí no exige que el atacante ya tenga un pie adentro. Es el mismo patrón que dejó a organizaciones globales expuestas con CitrixBleed en 2023: el tiempo entre divulgación y explotación masiva se mide en días, no en semanas.

Si su organización usa NetScaler y es un Operador de Importancia Vital bajo la Ley 21.663 (banca, servicios básicos, telecomunicaciones, salud, entre otros), un compromiso confirmado activa el deber de reporte a ANCI. No citamos un plazo específico de horas porque no lo verificamos en la fuente de esta nota; consulte el procedimiento vigente de su organización con ANCI directamente.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Dato: las dos CVEs en el catálogo KEV permiten RCE no autenticado contra un componente expuesto a Internet por diseño (la interfaz de gestión o el portal Gateway). Es el vector de manual de T1190.
• T1505.003 — Evaluación (confianza media): en incidentes previos de NetScaler (CitrixBleed, CVE-2019-19781) los atacantes dejaron webshells en directorios de temas o bookmarks del portal tras el RCE inicial. Citrix no ha confirmado este comportamiento para las CVEs actuales; lo registramos como hipótesis de detección, no como hecho de este caso.
• T1071.001 — Evaluación (confianza baja): posible canal de C2 sobre HTTP/S saliente desde el appliance comprometido, consistente con post-explotación de dispositivos de borde en general. No hay indicador específico de este caso que lo confirme.

title: Exposicion de interfaz de administracion NetScaler a origen no confiable
id: 7f3c9a2e-5d16-4b8a-91e0-6c2d4f8a01b3
status: experimental
description: Detecta conexiones permitidas hacia puertos tipicos de administracion de NetScaler ADC/Gateway (NSIP) desde una zona no confiable, superficie de riesgo directa para CVE-2026-88771/88772 y las seis CVEs relacionadas.
references:
  - https://www.cisa.gov/news-events/alerts/2026/09/27/critical-zero-day-vulnerabilities-exploited-citrix-netscaler-adc-gateway
author: Vantis
date: 2026/09/29
logsource:
  category: firewall
  product: other
detection:
  selection:
    dst_port:
      - 443
      - 3008
      - 3009
      - 9000
    dst_ip|cidr: '192.0.2.0/24'
    src_zone: 'untrusted'
    action: 'allow'
  condition: selection
falsepositives:
  - Escaneos de vulnerabilidades autorizados mal etiquetados como zona no confiable
  - Integraciones legitimas de terceros que administran el appliance de forma remota
level: high

CommonSecurityLog
| where DeviceVendor == "Citrix" or SourceIP in ("192.0.2.0/24")
| where CommunicationDirection == "Outbound"
| where DestinationIP !in ("200.1.1.0/24") // reemplazar por rango de destinos autorizados (Citrix Cloud, NTP, DNS internos)
| summarize count(), make_set(DestinationIP) by SourceIP, bin(TimeGenerated, 1h)
| where count_ > 5

index=firewall dest_port IN (443,3008,3009,9000) action=allowed
| lookup netscaler_management_ips.csv dest_ip OUTPUT is_netscaler
| where is_netscaler="true"
| where NOT cidrmatch("10.0.0.0/8", src_ip) AND NOT cidrmatch("172.16.0.0/12", src_ip)
| stats count by src_ip, dest_ip, dest_port

Fuentes

• CISACritical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway · 2026-09-27
• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-09-27
• CSA LabsCitrix NetScaler Zero-Days Under Active Global Exploitation · 2026-09-28
• unaaldiaCISA da de plazo hasta el 30 de septiembre para parchear dos fallos críticos en Citrix NetScaler ya explotados · 2026-09-28
• Segu-InfoExplotación activa de dos Zero-Day RCE sin parchear en Citrix NetScaler ADC y NetScaler Gateway · 2026-09-27
• The Hacker NewsCISA Says Attackers Are Exploiting Two Critical Citrix NetScaler Flaws Globally · 2026-09-28

Relacionado