Se han reportado dos vulnerabilidades críticas de día cero (RCE) en Citrix NetScaler que están siendo explotadas activamente. Agencias de ciberseguridad y proveedores han advertido privadamente a las organizaciones para que apaguen sus dispositivos o restrinjan el acceso mientras esperan los parches oficiales. Se espera que Citrix publique las actualizaciones y la información técnica a principios de la próxima semana.

Se informa que dos vulnerabilidades zero-day no parcheadas de Citrix NetScaler están siendo explotadas en ataques, y agencias de ciberseguridad, investigadores de seguridad y proveedores de TI han advertido privadamente a las organizaciones sobre estos fallos antes de los parches previstos para la próxima semana.

Las primeras señales del incidente aparecieron cuando administradores de Citrix comenzaron a informar en Reddit que los proveedores de TI y los equipos de seguridad estaban contactando privadamente a sus organizaciones y aconsejándoles que apagaran sus dispositivos NetScaler.

"Recibimos una llamada del equipo de seguridad de nuestro proveedor de TI, no pudieron dar detalles pero aconsejaron apagar nuestros Netscalers inmediatamente", escribió un administrador [enlace].

Otros administradores afirmaron que las fuerzas del orden, los CERT y las agencias nacionales de ciberseguridad también habían estado contactando a las organizaciones sobre el problema.

La empresa de ciberseguridad watchTowr advirtió posteriormente de forma pública que estaba "reaccionando rápidamente a los rumores" de que múltiples vulnerabilidades de ejecución remota de código (RCE) no parcheadas de Citrix NetScaler estaban siendo explotadas, tras verificar la información con "fuentes autorizadas".

"Actualmente estamos reaccionando rápidamente a los rumores de que circulan múltiples vulnerabilidades RCE de Citrix NetScaler no parcheadas. Aunque los detalles son escasos, la información es creíble", afirmó watchTowr [enlace].

watchTowr señaló que la advertencia no está relacionada con CVE-2026-19490 y CVE-2026-19489, dos fallos de NetScaler revelados por Citrix en agosto.

CVE-2026-19490 es una vulnerabilidad crítica de omisión de autenticación que afecta a los dispositivos NetScaler configurados como servidor virtual AAA o Gateway bajo ciertas configuraciones.

A principios de este mes, los investigadores comenzaron a observar intentos de explotar CVE-2026-19490 después de que se hiciera público un exploit de prueba de concepto.

CISA añadió posteriormente el CVE-2026-19490 a su catálogo de Vulnerabilidades Explotadas Conocidas el 9 de septiembre.

watchTowr compartió más información posteriormente, afirmando que el incidente actual involucra dos vulnerabilidades de ejecución remota de código que permanecen sin parchear y ya han sido explotadas.

"Se esperan comunicaciones y parches de Citrix a principios de la próxima semana", dijo watchTowr [enlace].

"Dos vulnerabilidades, ambas RCE. Sin parchear, 0-days. Explotadas en el entorno real, descubiertas durante análisis forenses".

Se contactó a Citrix sobre los zero-days reportados, pero no se recibió respuesta.

la advertencia del ncsc proporciona detalles adicionales

El Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) compartió posteriormente detalles adicionales en un aviso de prenotificación enviado a organizaciones en los Países Bajos.

Varias personas compartieron copias de la notificación en línea, que indica que la agencia recibió información de un CERT socio europeo sobre dos vulnerabilidades críticas zero-day en Citrix NetScaler.

Según la notificación, cada vulnerabilidad puede conducir independientemente a la ejecución remota de código, y una de ellas permite a los atacantes colocar shellcode directamente en la memoria. Los detalles técnicos sobre la segunda vulnerabilidad aún estaban siendo investigados.

El aviso indica que no se habían asignado identificadores CVE y que Citrix no había publicado un aviso, pero estaba trabajando en parches que se espera sean lanzados a principios de la próxima semana.

También establece que no había indicadores de compromiso disponibles en ese momento y que el NCSC estaba en contacto con Citrix para obtener más información técnica y posibles IoCs.

Según la notificación, Citrix descubrió las vulnerabilidades durante una investigación de respuesta a incidentes en entornos de clientes.

Dichas investigaciones identificaron una explotación activa, tras lo cual Citrix envió una notificación bajo la Ley de Ciberresiliencia de la Unión Europea.

La notificación del NCSC dice que se ha identificado la explotación en múltiples clientes de Citrix en todo el mundo, aunque la agencia no sabía si las vulnerabilidades estaban siendo explotadas a gran escala.

También advirtió que los intentos de explotación podrían aumentar después de que Citrix publique los parches y detalles técnicos adicionales.

Debido a que la actualización de los dispositivos NetScaler puede causar tiempos de inactividad, el NCSC señaló que la prenotificación tenía como objetivo dar tiempo a las organizaciones para prepararse e implementar salvaguardas donde fuera posible, e instalar los parches rápidamente una vez que Citrix los lance.

Se contactó al NCSC neerlandés para confirmar si el aviso que circulaba en línea era legítimo.

La agencia declinó confirmar la notificación, pero su respuesta refleja los informes de administradores de Citrix que dijeron que las agencias de ciberseguridad habían compartido privadamente información sobre las vulnerabilidades.

"Como parte de nuestra función como CSIRT Nacional y CSIRT sectorial para organizaciones designadas, el NCSC-NL monitorea los desarrollos relevantes y las ciberamenazas que afectan a los Países Bajos las 24 horas del día, los 7 días de la semana", dijo el NCSC-NL.

"Proporcionamos información y asesoramiento a las organizaciones para que puedan tomar las medidas adecuadas. Como usted no forma parte de nuestro grupo, no podemos revelar más información en este momento".

Citrix no ha revelado oficialmente las dos vulnerabilidades, y no existen identificadores CVE disponibles públicamente, información sobre versiones afectadas, indicadores de compromiso o guías oficiales de mitigación para los zero-days reportados.

Hasta que Citrix lance los parches o una guía oficial, los administradores deben desconectar de internet los dispositivos NetScaler donde sea posible, o restringir el acceso a redes y direcciones IP confiables para reducir el riesgo.

Como mínimo, no exponga las interfaces de gestión de NetScaler a Internet y restrinja el acceso a direcciones IP confiables.

Fuente:
BleepingComputer