CISA da de plazo hasta el 30 de septiembre para parchear dos fallos críticos en Citrix NetScaler ya explotados

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE.UU. (CISA) ha marcado el 30 de septiembre como fecha tope para que las entidades federales del país solucionen dos vulnerabilidades críticas en Citrix NetScaler, un software ampliamente utilizado en redes corporativas. Lo preocupante es que estos fallos ya están siendo explotados por ciberdelincuentes, lo que convierte la actualización en una prioridad absoluta. No se trata de una alerta preventiva, sino de una respuesta a ataques activos que afectan a sistemas expuestos en Internet, como pasarelas de acceso remoto y servicios de publicación de aplicaciones.

Los dos fallos principales, identificados como CVE-2026-88771 y CVE-2026-88772, son especialmente peligrosos porque permiten a un atacante ejecutar código de forma remota sin necesidad de autenticarse. El primero de ellos, CVE-2026-88771, afecta a NetScaler ADC y NetScaler Gateway con su configuración por defecto, lo que significa que cualquier sistema sin actualizar podría quedar comprometido sin que el atacante necesite credenciales válidas. El segundo, CVE-2026-88772, puede provocar tanto la ejecución remota de código como denegaciones de servicio, especialmente en entornos donde está habilitado DTLS, un protocolo común en servidores VPN.

¿Por qué es urgente actuar?

Citrix ya ha lanzado parches para estas vulnerabilidades en las versiones 14.1 y 13.1 de NetScaler ADC y Gateway, incluyendo ediciones con certificaciones de seguridad como FIPS y NDcPP. Sin embargo, la actualización no es tan sencilla como parece: en muchos casos, implica paradas en servicios críticos y cambios en la configuración de red. Además, CISA recomienda revisar posibles indicios de compromiso antes de aplicar los parches, ya que la actualización podría borrar evidencias forenses valiosas. Esto es especialmente relevante para empresas con sistemas de monitorización limitados, donde detectar una intrusión previa puede marcar la diferencia entre una solución definitiva y un problema latente.

El problema se agrava para aquellas organizaciones que aún utilizan versiones obsoletas de NetScaler, como la 12.1 o la 13.0, que ya no reciben soporte. En estos casos, la única solución viable es migrar urgentemente a una versión compatible. Además de los dos fallos críticos, Citrix ha identificado otras seis vulnerabilidades menores, que incluyen técnicas como el *HTTP request smuggling* o eludir políticas de seguridad, lo que refuerza la necesidad de revisar a fondo la configuración de estos sistemas.

Qué significa para tu negocio

Si tu empresa utiliza Citrix NetScaler para gestionar accesos remotos, VPN o publicación de aplicaciones, este aviso te afecta directamente. Lo primero es localizar todas las instancias de NetScaler en tu red, especialmente aquellas expuestas a Internet, y verificar si tienen habilitado DTLS en los servidores VPN. Prioriza la actualización a las versiones 14.1-73.37 o 13.1-64.23 (o sus equivalentes certificadas) antes del 30 de septiembre, pero planifica con cuidado: estas actualizaciones pueden requerir paradas en servicios críticos, por lo que es recomendable tener un plan de reversión por si algo sale mal. Si aún usas versiones sin soporte, como la 12.1 o la 13.0, la migración no es opcional: es la única forma de proteger tu infraestructura. En un sector como el de la construcción, reformas o servicios técnicos, donde el acceso remoto a proyectos y datos es habitual, dejar estos sistemas sin parchear es como dejar la puerta de la oficina abierta de par en par.