Alerta crítica: dos fallas de día cero en Citrix NetScaler bajo explotación activa (CVSS 9.5)
Citrix confirmó el 27 de septiembre de 2026 que dos vulnerabilidades de día cero en NetScaler ADC y NetScaler Gateway —sus dispositivos de control de acceso, VPN y balanceo de carga— estaban siendo explotadas activamente antes de que existiera un parche público. La firma de investigación watchTowr Labs había detectado indicios de explotación un día antes, y CISA emitió una alerta ese mismo 27 de septiembre confirmando ataques a nivel global contra organizaciones que aún no habían actualizado.
CVE-2026-88771 (CVSS 9.5) es una falla de validación de entradas que permite ejecutar comandos arbitrarios sin necesidad de autenticarse, y afecta a cualquier despliegue de NetScaler en configuración por defecto; watchTowr documentó que el ataque abusa de un script interno a través del endpoint de autenticación del equipo. CVE-2026-88772 (también CVSS 9.5) es un desbordamiento de memoria que permite ejecución remota de código o denegación de servicio, y requiere que DTLS esté habilitado en los servidores virtuales de VPN, algo que ocurre por defecto. Las versiones afectadas son NetScaler ADC/Gateway 14.1 anteriores a 14.1-73.37 y la rama 13.1 anterior a 13.1-64.23, junto con sus variantes FIPS y NDcPP; Citrix ya liberó las versiones corregidas.
Lo que hace grave este caso no es solo la puntuación de severidad, sino la posición que ocupa NetScaler en la red: suele estar en el perímetro, exactamente en el punto que decide quién entra a la VPN corporativa y quién accede a las aplicaciones internas publicadas. Al no requerir credenciales, cualquier equipo expuesto a internet sin parchear es un blanco directo, y un atacante que lo compromete no gana un solo punto de la red, sino la puerta de entrada completa hacia ella. CISA fijó el 30 de septiembre de 2026 como plazo para que las agencias federales de Estados Unidos apliquen el parche, y el NCSC de los Países Bajos advirtió que los intentos de explotación probablemente aumenten ahora que la falla y el parche son públicos.
Para cualquier empresa que use NetScaler, la prioridad es verificar de inmediato qué versión tiene en producción, si el equipo está expuesto directamente a internet y si DTLS está activo en sus servidores virtuales de VPN. Si no es posible aplicar el parche de inmediato, Citrix recomienda reducir la exposición a internet mientras se coordina el mantenimiento, y advierte que actualizar por sí solo no descarta un compromiso previo: conviene revisar logs de acceso recientes contra el endpoint de autenticación, revocar credenciales asociadas e investigar sistemas conectados en busca de movimiento lateral, ya que la explotación activa comenzó antes de que el caso se hiciera público.
En Axentia damos soporte y gestión de infraestructura de seguridad perimetral —firewalls, VPN y soluciones de acceso remoto— a empresas en República Dominicana, y este es exactamente el tipo de caso donde ese acompañamiento marca la diferencia: priorizar qué parchear primero, verificar exposición real y aplicar actualizaciones críticas sin interrumpir la operación del negocio. Si su empresa opera NetScaler u otro dispositivo de borde de red, es buen momento para una revisión.
Fuentes: BleepingComputer — "Citrix admins warned to shut down NetScalers over 2 exploited zero-days" (https://www.bleepingcomputer.com/news/security/citrix-admins-warned-to-shut-down-netscalers-over-2-exploited-zero-days/); The Hacker News — "CISA Says Attackers Are Exploiting Two Critical Citrix NetScaler Flaws Globally" (https://thehackernews.com/2026/09/cisa-says-attackers-are-exploiting-two.html).
