Explotación activa de dos Zero-Day RCE sin parchear en Citrix NetScaler ADC y NetScaler Gateway
Segu-Info · 27 sept, 14:50
Qué hacer: Desconecta o aísla NetScaler ADC y NetScaler Gateway del perímetro hasta que Citrix publique los parches y estén disponibles; monitoriza las comunicaciones de Citrix a principios de la semana del 28 de septiembre.
Dos vulnerabilidades de día cero sin parchear en Citrix NetScaler ADC y NetScaler Gateway que permiten la ejecución remota de código están siendo explotadas activamente, según informó watchTowr el 26 de septiembre. Citrix no ha confirmado los fallos ni ha publicado una solución, y algunos administradores han desconectado los dispositivos en lugar de esperar un parche. NetScaler ADC y NetScaler Gateway se encuentran en el perímetro de redes empresariales gestionando VPN, acceso remoto, equilibrio de carga y autenticación.
watchTowr reportó que estaba investigando rumores sobre múltiples vulnerabilidades RCE en NetScaler siendo explotadas sin haber sido parcheadas. En una publicación posterior con información más detallada, confirmó dos vulnerabilidades de ejecución remota de código sin parchear que fueron explotadas antes de que existiera una solución, descubiertas durante investigaciones forenses. Se anticipaba que Citrix emitiría comunicaciones y parches a principios de la semana del 28 de septiembre.
Estos nuevos fallos son distintos de la vulnerabilidad CVE-2026-19490 (elusión de autenticación) que Citrix corrigió el 19 de agosto y que CISA añadió a su catálogo de vulnerabilidades explotadas conocidas el 9 de septiembre. En agosto, watchTowr demostró que un desbordamiento de memoria dinámica en NetScaler podía utilizarse para RCE. Citrix no ha aclarado si los dispositivos con compilaciones posteriores al 19 de agosto se ven afectados por estos nuevos fallos, ni ha publicado pruebas ni mencionado víctimas específicas.
Puntos clave
- Dos vulnerabilidades RCE sin parchear en NetScaler ADC y NetScaler Gateway
- Explotación activa confirmada en entornos reales antes de que existiera parche
- Citrix no ha confirmado los fallos ni publicado una solución
- Administradores reportan desconexión de dispositivos como medida de contingencia
- Dispositivos situados en perímetro de red: VPN, acceso remoto, equilibrio de carga