Citrix NetScaler, días cero explotados: intrusiones en Finlandia

📌 Novedades posteriores: NetScaler CVE-2026-107406: SAML IdP en riesgo incluso con parches (9 de octubre de 2026) · Día cero en NetScaler: malware WHIPSHOT y SLAPSHOT, IoC a buscar (29 de septiembre de 2026)

El 27 de septiembre de 2026 Citrix publicó correcciones para varias vulnerabilidades de NetScaler ADC y NetScaler Gateway. Dos de ellas, CVE-2026-88771 y CVE-2026-88772, ya se estaban explotando antes de que los parches estuvieran disponibles. Ese mismo día la CISA las incluyó en su catálogo Known Exploited Vulnerabilities (KEV), con plazo hasta el 30 de septiembre para las agencias federales estadounidenses.

En Europa el caso mejor documentado es el de Finlandia: el Kyberturvallisuuskeskus (NCSC-FI) recibió avisos de intrusiones logradas en el país y emitió una alerta, actualizada el 3 de octubre. El NCSC-NL neerlandés también publicó un aviso (NCSC-2026-0394) con clasificación H/H: probabilidad alta y daño alto.

Qué ha pasado

Según el NCSC-FI, la explotación empezó antes del 27 de septiembre: las intrusiones afectaron, por tanto, a sistemas para los que aún no existía corrección. La agencia finlandesa identificó en el país cientos de instancias NetScaler expuestas y contactó con quienes las gestionan. El Canadian Centre for Cyber Security informa de explotaciones observadas en varios entornos de clientes de Citrix en todo el mundo y precisa que el alcance real de la actividad aún no se conoce.

Las dos agencias coinciden en un punto: si expones NetScaler en Internet, debes partir de la hipótesis de que el equipo puede haber sido atacado. Actualizar no basta, porque un atacante que entró antes del parche puede haber dejado mecanismos de persistencia que siguen activos incluso después de instalar las nuevas versiones.

Detalles técnicos

• CVE-2026-88771: validación incorrecta de la entrada (CWE-20). Permite a un atacante remoto no autenticado ejecutar código arbitrario en el equipo. Según el Canadian Centre for Cyber Security, una explotación lograda puede llevar al compromiso completo del appliance, al acceso no autorizado a aplicaciones y servicios, al robo de credenciales y al movimiento lateral hacia los sistemas internos.
• CVE-2026-88772: desbordamiento de búfer (CWE-119, restricción incorrecta de las operaciones dentro de los límites de un búfer de memoria). Puede provocar ejecución de código arbitrario, corrupción de memoria o denegación de servicio.
• El boletín completo: según el NCSC-FI, el 27 de septiembre se corrigieron ocho CVE, de CVE-2026-88771 a CVE-2026-88778, con puntuaciones CVSS 4.0 entre 7.0 y 9.5. Incluyen ejecución remota de código, HTTP request smuggling, corrupción de memoria y elusión de mecanismos de protección.
• Versiones afectadas:
  • NetScaler ADC y NetScaler Gateway 14.1 anteriores a 14.1-73.37;
  • NetScaler ADC y NetScaler Gateway 13.1 anteriores a 13.1-64.23;
  • NetScaler ADC 14.1-FIPS anteriores a 14.1-73.37 FIPS;
  • NetScaler ADC 13.1-FIPS y 13.1-NDcPP anteriores a 13.1-37.279.
• Vector: red, contra el equipo expuesto. En MITRE ATT&CK la explotación corresponde a T1190 (Exploit Public-Facing Application).
• Uso en campañas de ransomware: por ahora desconocido, según la CISA.

La continuación: el problema de SAML

El 2 de octubre Citrix comunicó un nuevo problema que afecta a los equipos configurados con autenticación SAML: un atacante remoto puede volverlos inestables, con denegación de servicio, reinicios repetidos y posibles explotaciones posteriores. El Canadian Centre for Cyber Security precisa que se trata de un fallo distinto y que las versiones que corrigen CVE-2026-88771 y CVE-2026-88772 no lo resuelven. El NCSC-FI subraya que depende de la configuración y no afecta a todas las instalaciones. Lo contamos en el artículo sobre el día cero de NetScaler con SAML.

Impacto para las empresas europeas e italianas

Organizaciones de todos los tamaños usan NetScaler Gateway para el acceso remoto de sus empleados: un equipo comprometido da al atacante una posición privilegiada en el perímetro y una vía hacia la red interna. El caso finlandés muestra que los ataques también alcanzaron a organizaciones europeas, antes incluso de que existiera un parche.

Para las entidades sujetas a NIS2, el compromiso del gateway de acceso remoto es un incidente que hay que valorar para la notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Lo mismo vale para los centros sanitarios, donde el gateway puede abrir el acceso remoto a los sistemas clínicos.

Qué hacer ya

1. Actualiza: lleva todos los NetScaler ADC y Gateway al menos a las versiones 14.1-73.37, 13.1-64.23, 14.1-73.37 FIPS y 13.1-37.279 (13.1-FIPS y 13.1-NDcPP). Si usas SAML, sigue también las indicaciones de Citrix sobre el nuevo problema e instala las nuevas builds corregidas.
2. Conserva las pruebas antes de intervenir: siempre que sea posible, guarda los logs del equipo, los syslog remotos, los logs de NetScaler Console y los support bundle antes de reiniciar, actualizar o reconstruir.
3. Busca señales de compromiso: ejecuta la herramienta de Citrix para los indicadores de compromiso (IOC) de NetScaler Console. Revisa cuentas creadas, tareas programadas, servicios, scripts de arranque, carpetas de las aplicaciones web y volcados de fallos, además de procesos y conexiones activas.
4. Amplía la investigación: cruza los resultados con los logs de firewall, DNS, autenticación y endpoints. Busca conexiones salientes inesperadas, accesos administrativos anómalos y actividad sospechosa en los sistemas alcanzables desde el equipo.
5. Si sospechas un compromiso: aísla el equipo, cambia las contraseñas de administración, invalida las sesiones activas y sustituye los certificados. Prepárate para reconstruir el appliance a partir de software fiable y de una configuración verificada, y contacta con Citrix.
6. Valora la exposición: el Canadian Centre for Cyber Security sugiere, si el análisis de riesgos lo justifica, apagar temporalmente los equipos expuestos en Internet, sopesando los riesgos frente al impacto en el servicio.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a encontrar rápido los gateways que hay que actualizar. ARX Sentry recoge los logs de los firewalls y de los dispositivos de red en un colector central, para que las conexiones anómalas y los accesos sospechosos estén siempre a la vista de los analistas. Con ARX Horizon puedes consultar desde el portal las vulnerabilidades y buscar indicadores de compromiso.

Última actualización: 3 de octubre de 2026