CISA advierte sobre piratas informáticos que explotan dos vulnerabilidades de día cero en Citrix NetScaler para ejecutar código de forma remota.

Los ciberdelincuentes están explotando activamente dos vulnerabilidades críticas de día cero en los dispositivos Citrix NetScaler ADC y NetScaler Gateway, lo que les permite ejecutar código de forma remota en sistemas expuestos.

Estas vulnerabilidades, identificadas como CVE-2026-88771 y CVE-2026-88772, obtuvieron una puntuación de gravedad CVSS v4 de 9,5 sobre 10 y se han añadido al catálogo de Vulnerabilidades Explotadas Conocidas de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA).

CISA confirmó haber recibido informes e información de socios que evidencian actividad de explotación a nivel mundial. Citrix publicó actualizaciones de emergencia tras confirmar que se había producido explotación en implementaciones de NetScaler sin parchear y gestionadas por clientes. Los productos afectados suelen ubicarse en el perímetro de la red para proporcionar entrega de aplicaciones, equilibrio de carga, acceso VPN y acceso remoto seguro.

Esta posición hace que un dispositivo comprometido sea de gran valor para los ciberdelincuentes, ya que puede situarse entre los usuarios de internet y los sistemas internos de la empresa.

La vulnerabilidad CVE-2026-88771, relacionada con una validación de entrada incorrecta, puede permitir que un atacante remoto no autenticado ejecute comandos arbitrarios en un NetScaler ADC o Gateway vulnerable.

Afecta a todas las implementaciones vulnerables, incluidos los dispositivos con la configuración predeterminada. No es necesario habilitar ninguna función opcional para que la vulnerabilidad sea accesible, lo que la convierte en la más generalizada de las dos. Citrix indicó que la vulnerabilidad tiene una baja complejidad de ataque, lo que significa que un atacante no necesita una cuenta ni interacción con el usuario para comenzar la explotación.

La segunda vulnerabilidad, CVE-2026-88772, es una vulnerabilidad de desbordamiento de memoria que puede provocar la ejecución remota de código o una denegación de servicio. A diferencia de CVE-2026-88771, esta vulnerabilidad requiere que esté habilitado el protocolo DTLS (Datagram Transport Layer Security).

DTLS está habilitado de forma predeterminada en los servidores virtuales VPN de NetScaler, a menos que los administradores lo hayan desactivado explícitamente. Esto convierte a las implementaciones de acceso remoto en un área clave para que los equipos de seguridad revisen.