Una campaña explota dos zero-days críticos en Citrix NetScaler para instalar web shells y moverse por la red

Una campaña de ciberataques está aprovechando dos vulnerabilidades críticas no conocidas previamente —lo que en seguridad se conoce como zero-days— en los dispositivos Citrix NetScaler para infiltrarse en redes corporativas. Estos fallos, identificados como CVE-2026-88771 y CVE-2026-88772, permiten a los atacantes ejecutar código malicioso de forma remota sin necesidad de autenticación, lo que abre la puerta a intrusiones profundas y difíciles de detectar. El primero de ellos afecta a configuraciones por defecto de NetScaler ADC y Gateway, mientras que el segundo requiere que el protocolo DTLS esté activado, algo común en entornos con servidores VPN.

Cómo actúan los atacantes

Una vez dentro del sistema, los intrusos despliegan herramientas sofisticadas para mantener el acceso y moverse lateralmente por la red. Entre las técnicas observadas destacan la instalación de web shells —pequeños programas que permiten controlar el servidor desde un navegador— camufladas como archivos inofensivos, como hojas de estilo CSS o imágenes. También modifican la configuración del servidor web para que estos archivos se ejecuten como código PHP, lo que dificulta su detección. Además, intentan elevar privilegios alterando permisos en archivos críticos del sistema, como /bin/sh, para ejecutar comandos con permisos de administrador.

Los atacantes no se limitan a comprometer el dispositivo inicial. Utilizan herramientas como SLAPSHOT, un script en Python que crea túneles TCP para acceder a otros equipos dentro de la red, facilitando el robo de datos o la propagación de malware. Entre los indicios de compromiso se han identificado archivos sospechosos como /tmp/.uxdport o /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver, así como modificaciones en el archivo de configuración httpd.conf que delatan la presencia de código malicioso.

Citrix ya ha publicado parches para corregir estas vulnerabilidades, pero la actualización no es tan sencilla como parece. Antes de aplicar los parches, es crucial revisar si el sistema ya ha sido comprometido, ya que actualizar sin analizar podría borrar evidencias clave para entender el alcance del ataque. Las versiones afectadas incluyen NetScaler ADC y Gateway 13.1 (antes de 13.1-64.23) y 14.1 (antes de 14.1-73.37), así como compilaciones FIPS y NDcPP. Para quienes no puedan actualizar de inmediato, Citrix recomienda desactivar DTLS si no es estrictamente necesario y bloquear el tráfico UDP al puerto 443, aunque esta medida solo mitiga parcialmente el riesgo.

Qué significa para tu negocio

Si tu empresa utiliza Citrix NetScaler para gestionar accesos remotos o VPN, esta noticia es un recordatorio urgente de que los dispositivos expuestos a Internet son un objetivo prioritario para los ciberdelincuentes. Un ataque exitoso podría darles acceso a datos sensibles, interrumpir operaciones o incluso servir como puente para atacar a otros equipos de tu red. Lo más preocupante es que estas vulnerabilidades no requieren interacción del usuario: basta con que el dispositivo esté conectado a Internet para que sea vulnerable. Revisa si tu versión de NetScaler está afectada y prioriza la actualización, pero no lo hagas sin antes comprobar si hay señales de intrusión. Si no tienes un equipo de ciberseguridad interno, considera contratar un servicio forense para analizar el sistema antes de parchear. Y recuerda: las versiones antiguas de NetScaler (12.1 y 13.0) ya no reciben soporte, así que migrar a una versión compatible no es opcional. En un entorno donde el teletrabajo y el acceso remoto son la norma, descuidar la seguridad de estos dispositivos es como dejar la puerta de tu oficina abierta de par en par.