Alerta de seguridad: dos RCE sin parche en Citrix NetScaler, explotación activa según watchTowr

El 26 de septiembre la firma de seguridad watchTowr informó que existen dos vulnerabilidades zero-day sin parche en los appliances Citrix NetScaler ADC y NetScaler Gateway que permiten ejecución remota de código (RCE) y que, según esa compañía, están siendo explotadas activamente en entornos productivos. Citrix no ha publicado ningún boletín ni confirmado públicamente esos fallos, y las piezas disponibles al público no contienen indicadores de compromiso ni pruebas forenses aportadas por watchTowr. Por tanto, lo que sí puede afirmarse con certeza es limitado: una empresa de seguridad alertó sobre explotación en curso; Citrix no ha emitido un parche ni detalles oficiales; y algunos administradores han decidido retirar dispositivos de la red mientras esperan una solución.

Qué son NetScaler ADC y NetScaler Gateway y por qué importan. Estos appliances (físicos o virtuales) actúan en el perímetro de muchas empresas como balanceadores de carga, controladores de acceso remoto y puntos de terminación VPN y de autenticación. Un compromiso de un NetScaler en la frontera de la red puede dar a un atacante capacidad para interceptar o redirigir tráfico, extraer credenciales y mantener acceso persistente a recursos internos. Esa función crítica es la razón por la que las alertas de RCE en estos equipos son especialmente graves: no se trata de un servidor cualquiera, sino de un componente que regula quién entra y salede una red corporativa.

Qué se sabe y qué no. Confirmado: watchTowr publicó en X (antes Twitter) una nota inicial el 26 de septiembre y un seguimiento posterior en el que afirmó que existen dos RCE sin parche y que la explotación precede a cualquier corrección del proveedor. Citrix, por su parte, no ha anunciado nada públicamente hasta la mañana del domingo siguiente a la alerta. No confirmado: versiones exactas afectadas, vectores de explotación, indicadores de compromiso (IoC), víctimas concretas, ni la fuente forense que habría descubierto las intrusiones. Tampoco hay en este momento un boletín de Citrix que detalle qué builds reciben corrección o si versiones que ya alcanzaron fin de mantenimiento recibirán parches.

Contexto reciente y por qué la situación es compleja. En agosto Citrix corrigió un bypass de autenticación (mencionado como CVE-2026-19490 en varios reportes) y esa corrección fue ya incluida por agencias como CISA en su catálogo de vulnerabilidades explotadas en libertad; además, en meses anteriores se han documentado casos en que bugs parcheados llevaron a explotación de RCE a través de vectores como desbordamientos en el heap. Eso demuestra que la cadena de vulnerabilidades y las explotaciones contra NetScaler ha sido activa en los últimos meses, y que los incidentes previos han llevado a que algunos administradores opten por apagar o aislar dispositivos en ausencia de instrucciones oficiales. Para referencia sobre la lista de vulnerabilidades explotadas, ver la página de CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Para la página oficial de avisos de Citrix, consulte https://support.citrix.com/.

Cómo podría funcionar técnicamente un RCE en NetScaler. Aunque no hay detalles públicos de los dos fallos citados por watchTowr, una RCE en un appliance de este tipo suele aprovechar un servicio expuesto (interfaz de administración web, API REST, proxy SSL/TLS, o componentes de procesamiento de paquetes) para ejecutar código arbitrario en el sistema operativo del appliance o en procesos privilegiados. Un atacante con RCE puede ejecutar comandos con altos privilegios, instalar persistencia (backdoors, cron jobs, webshells), extraer claves privadas y credenciales almacenadas, o pivotar hacia la red interna. Por eso la explotación previa a un parche hace que la mera actualización posterior no elimine necesariamente la presencia de un atacante: persistencias instaladas antes del parche seguirán activas hasta que se detecten y eliminen.

A quién afecta. A organizaciones que utilicen NetScaler ADC o NetScaler Gateway expuestos a redes públicas o que permitan acceso remoto a la gestión. En particular, entornos que dependen de estos appliances para VPN corporativa o autenticación de usuarios tienen riesgo elevado porque la explotación podría facilitar acceso directo a sesiones y recursos internos. También están afectados proveedores y MSSP que gestionan estos equipos para terceros, por el potencial efecto multiplicador.

Consecuencias reales y probables. Si la explotación logra RCE con privilegios altos, las consecuencias incluyen: acceso no autorizado a redes internas; captura o suplantación de sesiones VPN; robo de credenciales y certificados; persistencia del atacante que sobreviva a parches; y potencial impacto en la disponibilidad (interrupciones deliberadas o incidentes por respuestas defensivas). Dado que no hay IoC públicos, muchas organizaciones deben asumir que un compromiso podría ser silencioso y previo a cualquier parche, lo que complica la contención.

Medidas inmediatas y concretas que debe tomar el lector. Primero, actúe con prioridad y de forma planeada: contactar a su equipo de seguridad y al proveedor (Citrix TAC o su reseller) y documentar cada paso. Mientras no haya un parche oficial, considere estas acciones prácticas: 1) Preservar evidencia antes de apagar: si es posible, genere snapshots de VPX, capture soporte técnico (support bundle), preserve registros de syslog y haga core dumps del motor de paquetes, siguiendo las guías del fabricante; 2) Si sospecha compromiso activo y riesgo inminente, aisle el appliance de la red o apáguelo —pero tenga en cuenta que apagar destruye artefactos volátiles; 3) Cambie todas las contraseñas de cuentas de servicio y secretos almacenados en el appliance, revoque certificados y claves privadas si hay sospecha razonable de exposición; 4) Retire la interfaz de gestión de Internet pública y limite el acceso administrativo a redes de gestión internas y VPN con MFA; 5) Aplique monitoreo intensivo: revisar logs de autenticación, conexiones entrantes, y transferencias de archivos; 6) Considere reconstruir o reinstalar el appliance desde imágenes limpias si existe indicio de persistencia; 7) Ejecute, cuando aplique, los scripts de comprobación y recomendaciones de agencias reconocidas —por ejemplo, la NCSC de los Países Bajos ofreció en incidentes previos utilidades y procedimientos para comprobar imágenes y core dumps (consulte el portal de la agencia: https://www.ncsc.nl/english); 8) Mantenga un canal de comunicación con su proveedor y documente todo para posibles procesos forenses y legales.

Decidir entre apagar, aislar o mantener en servicio. No hay una respuesta única: apagar impide nueva explotación inmediata pero borra evidencia forense volátil; aislar el dispositivo en una red de laboratorio o de contención permite realizar análisis sin cortar la trazabilidad; mantenerlo en servicio mantiene disponibilidad pero amplía ventana de exposición. Si su NetScaler garantiza accesos críticos y no puede ser sustituido fast, la decisión debe equilibrar seguridad, disponibilidad y capacidad forense.

Qué esperar del fabricante y del calendario. watchTowr indicó que esperaba comunicaciones y parches de Citrix en la semana del 28 de septiembre; hasta que Citrix publique un boletín oficial no hay IOCs ni mitigaciones autorizadas. Además, algunas líneas de producto (por ejemplo NetScaler 13.1) han llegado al fin de mantenimiento recientemente, lo que puede complicar la disponibilidad de parches para versiones antiguas. Es razonable prepararse para aplicar actualizaciones en sistemas compatibles y planificar migraciones si su versión ya no recibe mantenimiento.

En resumen: existe una alerta consistente de explotación activa en NetScaler según una firma de seguridad, pero faltan confirmaciones técnicas públicas y parches de Citrix. Mientras tanto, asuma riesgo elevado para appliances expuestos, priorice la preservación de evidencia y el aislamiento, cambie contraseñas y certificados comprometidos, y manténgase atento a los comunicados oficiales de Citrix y a listas de vulnerabilidades gestionadas por agencias como CISA. Para seguir de cerca las actualizaciones, consulte la página de seguridad de Citrix y el catálogo de CISA.