Citrix NetScaler: exploit pre-auth para CVE-2026-88772 ya circula activamente

30 de septiembre de 2026 · Por Erick Marin

Qué pasó

Investigadores de ciberseguridad publicaron detalles técnicos de una vulnerabilidad crítica en Citrix NetScaler ADC y NetScaler Gateway, identificada como CVE-2026-88772, con una puntuación CVSS de 9.5. El fallo se origina en un desbordamiento de memoria durante el manejo del protocolo DTLS (Datagram Transport Layer Security) en NetScaler.

Según la fuente, la vulnerabilidad ya se encuentra bajo explotación activa en el mundo real, y los detalles divulgados muestran un camino de explotación previo a la autenticación (pre-auth) que puede derivar en ejecución de shellcode en los dispositivos afectados. Esto significa que un atacante no necesita credenciales válidas para comprometer el equipo.

Citrix ya había publicado un parche para esta falla antes de la divulgación técnica, pero la existencia de exploits públicos y la confirmación de explotación activa elevan significativamente el riesgo para las organizaciones que aún no han aplicado la actualización.

Qué significa para empresas en LatAm

NetScaler ADC y Gateway son ampliamente utilizados en la región por empresas de todos los tamaños para balanceo de carga, acceso remoto seguro (VPN) y publicación de aplicaciones críticas, lo que convierte a esta vulnerabilidad en un vector de alto impacto. Un compromiso exitoso podría otorgar a un atacante acceso inicial a la red interna de la organización, sirviendo como puerta de entrada para movimientos laterales, robo de datos o despliegue de ransomware.

Dado que se trata de un fallo pre-autenticación y ya explotado activamente, las organizaciones que exponen NetScaler a internet sin parchear son blancos de alto riesgo inmediato, independientemente de su sector o tamaño.

Qué hacer ahora

1. Verificar la versión de NetScaler ADC/Gateway instalada y aplicar de inmediato el parche oficial publicado por Citrix para CVE-2026-88772.
2. Si no es posible parchear de inmediato, restringir el acceso a los dispositivos NetScaler expuestos a internet mediante listas de control de acceso o VPN adicional.
3. Revisar logs de NetScaler en busca de indicadores de compromiso, conexiones anómalas o actividad DTLS inusual previa y posterior a la fecha de divulgación.
4. Rotar credenciales y tokens de sesión asociados a NetScaler tras aplicar el parche, ante la posibilidad de compromiso previo.
5. Habilitar monitoreo y alertas específicas para actividad sospechosa en dispositivos NetScaler, incluyendo integración con SIEM/SOC.