CyberScoop informó el 29 de septiembre de 2026 de que unos atacantes explotaron un fallo en dispositivos Citrix NetScaler durante al menos tres semanas antes de que se confirmara, con la explotación más temprana conocida el 3 de septiembre. Mandiant atribuye la campaña a actores avanzados y presuntamente respaldados por Estados, y Citrix publicó el domingo 28 de septiembre parches para ambos fallos y para otros seis defectos [1] [3]. Los informes se refieren a organizaciones, pero las mismas pasarelas dan servicio a pequeñas oficinas y a trabajadores remotos.
Contexto
NetScaler ADC y NetScaler Gateway son dispositivos que se sitúan en el borde de una red y gestionan el acceso remoto y la entrega de tráfico, por lo que, por diseño, son accesibles desde internet. CyberScoop señala que los dispositivos de borde supusieron el 48 por ciento de los ataques empresariales de este tipo el año pasado y que, por lo general, carecen de supervisión de detección en el endpoint [1]. Una oficina que accede a sus archivos o aplicaciones a través de una VPN de NetScaler, ya sea porque gestiona el dispositivo o porque lo hace un proveedor en su nombre, depende de que ese dispositivo esté parcheado.
Hallazgos
Se nombran dos fallos, CVE-2026-88772 y CVE-2026-88771. CyberScoop describe el segundo como una vulnerabilidad de inyección de comandos e informa de que ambos tienen una puntuación de 9,5 en la escala CVSS y permiten la ejecución remota de código en dispositivos NetScaler ADC y Gateway en configuraciones por defecto [2]. El análisis de watchTowr sobre CVE-2026-88772 describe un desbordamiento de memoria en el tratamiento de mensajes fragmentados del handshake DTLS. DTLS está activado por defecto en los servidores virtuales de VPN, y un administrador tiene que haberlo desactivado de forma explícita para evitar la exposición [4].
Según CyberScoop, GreyNoise vio un intento de explotación fallido el 24 de septiembre, y durante el fin de semana circularon avisos por canales no oficiales mientras Citrix guardaba silencio público; Citrix publicó su aviso el domingo 28 de septiembre [2]. Se cita al director ejecutivo de watchTowr, Ben Harris, diciendo que en ese periodo los clientes recibían avisos por canales no oficiales [2].
Mandiant describe una cadena de ataque en la que cabeceras de registro DTLS mal formadas provocan corrupción de memoria del heap y ejecución de código con privilegios de root. Después, los atacantes establecen persistencia en la configuración del servidor web del dispositivo y despliegan dos herramientas que Mandiant denomina WHIPSHOT, una web shell en PHP, y SLAPSHOT, un proxy en Python usado para canalizar tráfico [3]. CyberScoop añade que Charles Carmakal, de Mandiant, dijo que Mandiant tiene constancia de decenas de organizaciones afectadas y espera una explotación amplia y oportunista a corto plazo. Entre los sectores afectados figuran el gobierno, los servicios financieros, la educación, las telecomunicaciones y los servicios jurídicos y profesionales en Norteamérica y Europa [1].
CyberScoop informa de que Palo Alto Networks identificó más de 50.000 instancias vulnerables expuestas públicamente el domingo y de que CISA añadió ambos fallos a su catálogo de vulnerabilidades explotadas conocidas. Era la quinta entrada de Citrix en 2026 y la número 26 desde finales de 2021 [2].
Implicaciones para pequeñas oficinas y trabajadores remotos
El componente vulnerable es el dispositivo, no el portátil que hay detrás. Una persona que se conecta a través de una pasarela NetScaler no puede parchearla y tampoco puede saber, desde el lado del cliente, si se ha actualizado. Mandiant enumera las credenciales almacenadas en el dispositivo, o que pasan por él, entre los elementos que conviene rotar tras un compromiso, incluidas las cuentas de enlace LDAP, los secretos compartidos de RADIUS y las credenciales de TACACS, y aconseja auditar la infraestructura posterior, como los hosts de StoreFront y Virtual Apps [3]. Para una pequeña oficina, eso se traduce en preguntas para quien opera la pasarela.
Recomendaciones
- Pregunte a quien opera la pasarela, el proveedor de TI o el equipo de TI del empleador, si usa NetScaler y qué compilación. Las compilaciones corregidas que nombran Mandiant y watchTowr son la 14.1-73.37 y la 13.1-64.23 o posteriores, incluidas sus variantes FIPS [3] [4].
- Si el parcheo se retrasa, Mandiant enumera controles compensatorios: desactivar DTLS cuando sea viable, bloquear aguas arriba el UDP 443 entrante y permitir solo direcciones de origen concretas en el firewall perimetral [3].
- Tras un presunto compromiso, revoque las sesiones activas de administración y de VPN y rote las credenciales y las claves SSH del dispositivo [3].
- Considere potencialmente expuestas las contraseñas usadas a través de la pasarela desde principios de septiembre si el operador no puede confirmar que el dispositivo está limpio, y cámbielas [3].
- No confíe en la ausencia de alertas. La campaña se prolongó al menos tres semanas antes de confirmarse [1].
Relevancia para FireAI
FireAI se ejecuta en un Mac. No parchea, analiza ni supervisa un dispositivo NetScaler, no puede ver el tráfico hacia la pasarela ni dentro de ella más allá de lo que envía el propio Mac, y no detecta una intrusión en un dispositivo de red. Lo que hace es local. Actividad e historial de conexiones muestra qué app se conectó a qué servidor, de modo que se ve si una app inesperada contacta con un destino nuevo. Las reglas pueden permitir que el cliente VPN llegue a la pasarela de la oficina y a nada más. Si una persona sospecha que una cuenta usada desde un Mac ha quedado expuesta, el kill switch rechaza las conexiones nuevas fuera de la red del hogar o de la oficina, aunque no cierra las conexiones que ya están abiertas.
Limitaciones
Los dos artículos de CyberScoop son información de segunda mano, y los detalles en que difieren, como la fecha exacta en que se confirmaron los ataques, no se conciliaron. La cifra de Palo Alto Networks de 50.000 instancias expuestas la cita CyberScoop; el propio informe de amenazas de Unit 42 no se pudo obtener para esta noticia. Las fuentes no dicen cuántas pequeñas oficinas están afectadas, si alguna víctima era usuaria de Mac ni quiénes son los actores más allá de la descripción de Mandiant. La cifra del 48 por ciento se refiere a los ataques empresariales de este tipo del año anterior, según indica CyberScoop, y no se contrastó con el estudio de origen.
Pruebe FireAI, de HisnLabs gratis durante 17 días.