Dos fallos con explotación confirmada

El aviso de CERT-EU del 27 de septiembre recoge ocho vulnerabilidades en NetScaler ADC y Gateway administrados por el cliente. Citrix confirma explotación activa de CVE-2026-88771 y CVE-2026-88772, ambas con CVSS 9,5 y posibilidad de ejecución remota sin autenticación.

La primera no requiere una configuración especial; la segunda afecta a despliegues con DTLS habilitado. También hay otros fallos con requisitos diferentes: deben comprobarse individualmente.

Versiones y respuesta recomendada

Las correcciones que recoge CERT-EU son:

  • Rama 13.1: 13.1-64.23.
  • Rama 14.1: 14.1-73.37; también 14.1-73.37 FIPS.
  • Rama 13.1 FIPS/NDcPP: 13.1-37.279.

El alcance incluye Secure Private Access Hybrid cuando utiliza instancias NetScaler. CERT-EU recomienda actualizar inmediatamente los equipos afectados y evaluar posibles compromisos en los expuestos a Internet.

Análisis de Defensops: parchear y revisar son dos tareas distintas

Nuestra recomendación operativa es identificar todos los dispositivos que prestan acceso remoto o publican aplicaciones, y relacionarlos con su versión y exposición. No basta con comprobar el equipo que aparece primero en la consola: cada miembro de un despliegue debe quedar incluido en la validación.

Para organizar la intervención proponemos:

  1. Asignar un responsable del cambio y otro de la evaluación de actividad previa.
  2. Conservar configuración y registros relevantes con acceso restringido antes de alterarlos.
  3. Seguir la actualización correspondiente a la rama instalada y verificar el resultado real.
  4. Probar autenticación, acceso a aplicaciones y funcionamiento de los componentes afectados.
  5. Investigar accesos administrativos, cambios y conexiones que no se expliquen por la operación habitual.

El inventario de servicios ayuda a decidir una ventana de mantenimiento y a comunicar posibles interrupciones. Si aparecen evidencias de compromiso, la recuperación debe tratarse como un incidente, no como una actualización rutinaria. La revisión de credenciales y sesiones debe basarse en lo que pudo quedar expuesto y en las instrucciones aplicables al producto.

Una versión afectada no demuestra por sí sola una intrusión; la explotación confirmada en otros entornos sí aumenta la prioridad de revisar la exposición propia. Del mismo modo, instalar una versión corregida no elimina automáticamente los efectos de un acceso previo.

Recomendamos registrar quién evaluó cada equipo y qué evidencias sustentan su conclusión. El cierre requiere tanto comprobación técnica como continuidad operativa.

Actualización del 30 de septiembre: análisis de la explotación

El 29 de septiembre, Mandiant y Google Threat Intelligence Group publicaron
una investigación propia sobre la explotación activa de CVE-2026-88772. En los
casos que analizaron, el acceso inicial afectaba a NetScaler con DTLS y
permitía alcanzar privilegios de root sin autenticación. La investigación
sitúa la campaña observada al menos desde principios de septiembre; no
implica que todo dispositivo vulnerable haya sido comprometido.

Los investigadores describen dos herramientas posteriores al acceso:
WHIPSHOT, una puerta trasera web en PHP, y SLAPSHOT, un túnel en Python que
puede dar acceso a redes internas. En al menos una intrusión observaron
reconocimiento interno y robo de credenciales a través de ese túnel. Son
hallazgos de los incidentes investigados, no síntomas obligatorios en todos
los ataques.

Además de aplicar la versión corregida, conviene revisar la configuración del
servidor web del appliance en busca de asociaciones de extensiones inusuales
con PHP, archivos inesperados en rutas web, los artefactos temporales
/tmp/.uxdport y /tmp/.uxdlock, y permisos SUID anómalos en /bin/sh.
Mandiant recomienda valorar estos indicios junto con los registros y el
contexto del equipo antes de concluir que hubo compromiso. Una actualización
no elimina por sí misma una persistencia ya instalada.

Investigación original de Mandiant y Google Threat Intelligence Group,
29 de septiembre de 2026.

Fuentes y fecha

CERT-EU: aviso del 27 de septiembre de 2026. Boletín de Citrix enlazado por CERT-EU. Revisión editorial: 27 de septiembre. El procedimiento operativo es análisis propio de Defensops.