Un fallo crítico en Citrix NetScaler ADC y NetScaler Gateway está siendo utilizado para ejecutar comandos en dispositivos expuestos, instalar shells web y distribuir malware.

Identificada como CVE-2026-88771, la vulnerabilidad se origina en una validación incorrecta de las entradas y puede permitir que un atacante no autenticado ejecute comandos de forma remota.

Citrix le otorga una puntuación CVSS 4.0 de 9.5 y afirma que su explotación no requiere que ninguna función opcional esté activada. La empresa ha confirmado ataques contra sistemas que no han sido parcheados.

Esta actividad pone a los sistemas NetScaler orientados a internet en riesgo de algo más que un breve intento de intrusión. Una shell web puede darle a un atacante una vía para regresar y ejecutar comandos, mientras que el malware puede proporcionar otra ruta para controlar el dispositivo.

Los dispositivos NetScaler suelen situarse en el perímetro de las redes corporativas y gestionan el acceso a las aplicaciones, lo que hace que cualquier compromiso sea importante de investigar incluso después de una actualización de software.

Investigadores del equipo ThreatLabz de Zscaler identificaron una cadena de explotación estructurada que implica el envenenamiento de registros (log poisoning), la ejecución de comandos e intentos de colocar varias shells web.

También observaron la entrega de una carga útil de malware para FreeBSD x64 durante la actividad. Zscaler advierte que el hecho de compartir infraestructura no prueba que los ataques provengan del mismo grupo; la conexión podría reflejar el uso reutilizado de servicios de hosting o de distribución de malware.

Explotan fallo crítico de RCE en Citrix NetScaler

En la cadena observada, los atacantes enviaron solicitudes a rutas web comunes de NetScaler y colocaron un marcador y comandos codificados en el campo User-Agent.

Esto permitió que contenido controlado por el atacante se escribiera en los registros de acceso. Luego, enviaron solicitudes de autenticación manipuladas que contenían texto diseñado para parecer un fallo de proceso de NetScaler.

El objetivo era que un proceso de diagnóstico vulnerable manejara posteriormente la entrada del registro envenenada y ejecutara los comandos adjuntos.

Este método retardado es relevante porque la primera solicitud puede no ejecutar por sí misma la carga útil completa. En su lugar, prepara la entrada del registro, mientras que un proceso posterior puede activar los comandos.

Los investigadores observaron intentos de crear archivos en directorios del dispositivo, habilitar el manejo de PHP o Perl en la configuración del servidor web y plantar scripts que pudieran ejecutar comandos.

Estas observaciones muestran actividad intentada, no una prueba de que cada dispositivo objetivo haya sido comprometido con éxito.

Zscaler también informó de intentos de descargar en el dispositivo y ejecutar un binario de FreeBSD basado en Rust. El comando de descarga observado nombró el archivo kw2-freebsd-x64-s11 y lo ubicó en /var/kw2s11.

Los investigadores vieron un estallido de actividad similar desde al menos 26 direcciones IP de origen durante aproximadamente seis o siete minutos. Esto indica intentos repetidos, pero no establece cuántos sistemas fueron afectados.

Esta actividad sigue a otros informes de atacantes que abusan de fallos de NetScaler para establecer acceso. Se ha descrito explotación relacionada y actividad de shells web en coberturas de zero-days recientes de NetScaler y shells web en dispositivos expuestos.

Estos informes se refieren a amenazas relacionadas de NetScaler, pero no significan que cada campaña utilizara el mismo malware o los mismos operadores.

Parcheo y respuesta

El boletín de seguridad de Citrix indica que los clientes afectados deben instalar una versión corregida. Sus compilaciones iniciales enumeradas incluyeron NetScaler ADC y Gateway 14.1-73.37 y 13.1-64.23, o versiones posteriores en esas ramas.

La guía de Zscaler del 16 de octubre enumera compilaciones posteriores —14.1-73.46 y 13.1-64.29— o versiones más recientes. Debes consultar el boletín de seguridad de Citrix e instalar una actualización compatible actualmente.

Parchear evita una mayor explotación del fallo, pero no prueba que un dispositivo esté limpio. Las organizaciones deben preservar los registros y los datos forenses donde sea posible, y luego revisar los registros de autenticación y acceso en busca de marcadores sospechosos, sintaxis de shell, descargas inesperadas y solicitudes inusuales.

También deben buscar archivos web inesperados, configuraciones de servidor HTTP alteradas, procesos desconocidos y conexiones salientes iniciadas por el dispositivo. Zscaler aconseja verificar la integridad de la configuración y rotar credenciales, tokens y certificados si se confirma el compromiso.

Tus equipos deben investigar tanto los sistemas conectados como el dispositivo mismo. Un dispositivo perimetral comprometido puede exponer información de configuración almacenada o proporcionar una ruta hacia las redes internas.

Si encuentras actividad sospechosa, el equipo de seguridad debe contener el dispositivo, preservar la evidencia, evaluar si se expusieron cuentas o secretos y seguir su proceso de respuesta a incidentes. Un parche es un primer paso esencial, no un sustituto de comprobar si un atacante ya obtuvo acceso.