Una campaña explota dos zero-days críticos en Citrix NetScaler para instalar web shells y moverse por la red
Una al día (Hispasec) · 30 sept, 17:08
Qué hacer: Actualiza Citrix NetScaler ADC a 14.1-73.37 o superior, o a 13.1-64.23 o superior según tu rama; si ejecutas versiones 12.1 o 13.0 en fin de vida, migra a una rama soportada; de no poder parchear inmediatamente, deshabilita DTLS y bloquea UDP entrante al 443 como mitigación parcial, pero preserva evidencias forenses antes de actualizar.
Dos vulnerabilidades zero-day críticas (CVE-2026-88771 y CVE-2026-88772) en Citrix NetScaler se explotan activamente en campañas de intrusión para lograr ejecución remota de código sin autenticación e instalar web shells y herramientas de tunelización. Citrix ha publicado parches y CISA ha fijado el 30 de septiembre de 2026 como límite para que organismos federales estadounidenses apliquen la mitigación. Los atacantes camuflan las web shells modificando la configuración del servidor web y utilizan técnicas de persistencia sofisticadas.
El primer fallo, CVE-2026-88771, se origina en una validación de entrada incorrecta y afecta a NetScaler ADC y NetScaler Gateway con configuración por defecto. El segundo, CVE-2026-88772, es un desbordamiento de memoria que requiere DTLS habilitado, opción que suele venir activa por defecto en VPN vServers, ampliando su alcance práctico. Ambas vulnerabilidades tienen CVSS v4.0 de 9,5 y permiten RCE sin autenticación.
Los atacantes despliegan web shells PHP camufladas mediante técnicas sofisticadas: modifican httpd.conf para procesar ficheros CSS o imágenes como PHP, elevan privilegios activando el bit setuid en /bin/sh, y utilizan herramientas como WHIPSHOT (web shell) y SLAPSHOT (tunelización TCP) para movimiento lateral. Los indicadores de compromiso incluyen archivos en /var/netscaler/logon/LogonPoint/custom/, modificaciones en httpd.conf, procesos Python con nohup y ficheros como /tmp/.uxdport.
NetScaler ADC 13.1 (anterior a 13.1-64.23), 14.1 (anterior a 14.1-73.37) y sus equivalentes en Gateway están afectados. Las versiones 12.1 y 13.0 están en fin de vida. La mitigación parcial incluye deshabilitar DTLS y bloquear UDP entrante al 443, pero no cubre CVE-2026-88771.
Puntos clave
- Actualiza NetScaler ADC a 14.1-73.37 o posterior, o 13.1-64.23 o posterior
- Versiones 12.1 y 13.0 en fin de vida: requieren migración a ramas soportadas
- Deshabilita DTLS y bloquea UDP al 443 como mitigación parcial, pero no es suficiente
- Busca web shells PHP, audita httpd.conf, revisa permisos de /bin/sh y vigila procesos Python anómalos
- CISA fijó plazo del 30 de septiembre de 2026 para que organismos federales EEUU apliquen parches