Se han explotado vulnerabilidades de ejecución remota de código de día cero en Citrix NetScaler y se han publicado parches.

Se han explotado dos vulnerabilidades de día cero en Citrix NetScaler que permiten la ejecución remota de código. La alerta comenzó con una notificación previa filtrada del NCSC-NL y fue corroborada por watchTowr y Kevin Beaumont. Citrix ha publicado un boletín de seguridad que cubre ocho CVE y confirma la explotación de CVE-2026-88771 y CVE-2026-88772. Aplique el parche ahora.

¿Por qué es importante esta vulnerabilidad de día cero en NetScaler?

NetScaler ADC y Gateway se ubican en el perímetro de la red. Finalizan las sesiones VPN, equilibran el tráfico de aplicaciones y autentican a los usuarios antes de que accedan a los sistemas internos. Una vulnerabilidad de ejecución remota de código previa a la autenticación en este nivel es grave. Si se rompe la puerta de entrada, un atacante obtiene acceso sin credenciales.

La historia agrava la preocupación. NetScaler ha sido un objetivo recurrente, con 13 entradas relacionadas con NetScaler en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA. Esta vez, sin embargo, la explotación reportada parece haber comenzado antes de que existiera cualquier parche.

Cómo surgió la alerta

La historia no comenzó con un boletín del proveedor. En cambio, se originó en la comunidad. El 25 de septiembre de 2026, una publicación en el subreddit r/Citrix transmitió un consejo urgente para apagar los dispositivos NetScaler. Según se informa, este consejo provenía de una prenotificación del NCSC-NL holandés compartida bajo el estricto nivel de manejo TLP:AMBER+STRICT. Puedes leer el hilo de la comunidad que dio la voz de alarma en esta discusión de r/Citrix sobre la filtración de NetScaler.

Al día siguiente, los investigadores hicieron pública la información. watchTowr declaró que estaba respondiendo a informes creíbles de vulnerabilidades de ejecución remota de código (RCE) sin parchear en NetScaler, y posteriormente las describió como dos vulnerabilidades de día cero distintas. La empresa compartió su advertencia en una publicación de watchTowr en X. Kevin Beaumont afirmó por separado que la actividad de día cero era real y estaba vinculada a ataques activos.