Warning: Two Unpatched Citrix NetScaler RCE Zero-Days Under Active Exploitation
The Hacker News · 27 sept, 09:47
Qué hacer: Aisla o desconecta los dispositivos NetScaler de la red hasta que Citrix publique parches confirmados, preserve evidencia forense y cambia todas las credenciales de servicios.
Dos nuevas vulnerabilidades zero-day en Citrix NetScaler ADC y NetScaler Gateway que permiten ejecución remota de código están siendo explotadas activamente en la naturaleza, según la firma de seguridad watchTowr. Citrix aún no ha confirmado las faltas ni publicado un parche, y algunos administradores han desconectado los dispositivos en lugar de esperar. Estas son distintas de CVE-2026-19490, ya parcheada en agosto.
watchTowr informó el 26 de septiembre sobre dos vulnerabilidades RCE no parcheadas que fueron descubiertas durante investigaciones forenses y explotadas antes de que existiera cualquier corrección. La firma describió que Citrix esperaba comunicaciones y parches para la semana del 28 de septiembre, pero no ha publicado pruebas, identificado víctimas ni especificado qué versiones afectan.
NetScaler ADC y NetScaler Gateway están en el perímetro de redes empresariales, manejando VPN, acceso remoto, balanceo de carga y autenticación. Sin información sobre indicadores de compromiso ni recomendaciones de mitigación del vendedor, los administradores deben decidir entre mantener los dispositivos en línea, aislarlos o apagarlos. La historia de 2025 de una vulnerabilidad zero-day en Países Bajos mostró que solo actualizar no elimina el riesgo si el atacante ya obtuvo acceso previo.
Puntos clave
- Dos vulnerabilidades RCE zero-day no parcheadas en NetScaler ADC/Gateway explotadas activamente
- Citrix sin parches publicados ni confirmación oficial hasta septiembre de 2025
- Administradores desconectando dispositivos o aislándolos por falta de detalles técnicos
- NetScaler 13.1 alcanzó fin de mantenimiento el 15 de septiembre sin confirmación de parches
- Necesaria investigación forense completa si el dispositivo estuvo en línea