CVE-2026-88771, una vulnerabilidad crítica de Citrix NetScaler, para ejecutar comandos, instalar shells web y recopilar datos de configuración del dispositivo.

La actividad va más allá de simples pruebas, con scripts maliciosos diseñados para mantener el acceso y enviar archivos robados a la infraestructura del atacante. El fallo afecta a NetScaler ADC y NetScaler Gateway y permite la ejecución de comandos antes de la autenticación.

Citrix le asigna una puntuación de 9.5 bajo CVSS 4.0 y afirma que los despliegues predeterminados vulnerables están expuestos sin necesidad de activar ninguna función adicional. Su confirmación de la explotación de un día cero en NetScaler impulsó actualizaciones de emergencia el 27 de septiembre de 2026.

Investigadores del equipo de Operaciones de Búsqueda de Amenazas e Investigación de LevelBlue identificaron eventos de autenticación maliciosos en múltiples entornos de clientes.

Su informe técnico del 30 de septiembre describe payloads de Python y Perl que soportan reverse shells, cuentas privilegiadas, shells web e intentos de robo de configuración. Los hallazgos no establecen que todos los intentos hayan tenido éxito.

Explotan fallo crítico de Citrix NetScaler

Los atacantes colocaron comandos de shell dentro de los nombres de usuario, a menudo junto a pitboss, NSPPE y unexpectedly died. Algunos usaron whoami para probar la ejecución, mientras que otros usaron curl o wget para obtener más código.

Los comandos también copiaron la configuración principal en un directorio web o archivaron la carpeta de configuración para recuperarla más tarde. Una variación utilizó la sustitución de comandos y ${IFS}, que representa espacios en blanco sin usar espacios literales.

Esto te ofrece, como defensor, otro patrón de búsqueda útil: campos de autenticación sospechosos que contengan texto relacionado con fallos (crash) junto con comandos para descargar, leer o archivar archivos.

El payload de Python sobrescribe un componente del dispositivo con código de reverse-shell. Ese código se conecta exteriormente a través del puerto TCP 443, redirige la entrada y salida a la conexión e inicia una shell interactiva. El script original también termina los procesos coincidentes asociados con el componente objetivo.

Shells web y robo de configuración

El payload de Perl crea una cuenta de superusuario local, archiva el directorio de configuración e intenta cargar el archivo. Luego, elimina el archivo y se borra a sí mismo. Por lo tanto, la ausencia de archivos no prueba que el payload haya fallado o que no hayan salido datos del dispositivo.

También cambia los permisos de la shell a 6555 e instala una shell web PHP. Los cambios en la configuración del servidor HTTP habilitan PHP y exponen la shell a través de direcciones que parecen recursos CSS normales.

Esto recuerda a los hallazgos de shells web de NetScaler de Google que involucraban archivos disfrazados, aunque LevelBlue no identifica su payload como el mismo malware.

La shell instalada soporta comandos remotos, cargas y descargas. Junto con la cuenta de administrador añadida, estos cambios dan a los atacantes varias formas de mantener el control del dispositivo tras la explotación inicial.

Deberías examinar los registros de autenticación, el acceso inesperado a la configuración, los nuevos archivos en el directorio web, los cambios en cuentas privilegiadas y el tráfico saliente tras eventos de inicio de sesión sospechosos.

LevelBlue advierte que una autenticación fallida no significa que la inyección de comandos haya fallado; debes comprobar qué sucedió después.

Los hashes y direcciones IP conocidos ayudan a localizar esta actividad, pero los atacantes pueden cambiarlos. Señales de advertencia más duraderas incluyen comandos de shell en los datos de autenticación, componentes del dispositivo alterados y archivos de configuración colocados donde el servidor web puede servirlos.

Revisa cuidadosamente los registros de red junto con los cambios de archivos y cuentas para determinar si un intento condujo a una shell operativa o a una transferencia de datos de configuración. Sigue el boletín de seguridad oficial de Citrix e instala una actualización compatible adecuada.

La guía anterior de parcheo urgente de NetScaler también recalca la importancia de investigar un posible compromiso, en lugar de tratar una actualización como prueba de que el dispositivo está limpio.

El boletín enumera correcciones para este fallo en las versiones 14.1-73.37 y 13.1-64.23, con sus correspondientes compilaciones FIPS y NDcPP. Estas son las correcciones mínimas en ese aviso, no una afirmación de que sean los lanzamientos más recientes. Deberías comprobar la guía actual del proveedor antes de elegir una actualización, especialmente donde también se apliquen otras vulnerabilidades de NetScaler.