Alerta de Seguridad: Citrix NetScaler - ejecución remota de comandos

// resumen_ejecutivo

CVE-2026-88771: falla explotada activamente permite a atacantes no autenticados ejecutar comandos en NetScaler. FCEB: mitigar antes del 30-09-2026.

// descripcion_detallada

Explotación activa de Citrix NetScaler

CISA añadió CVE-2026-88771 al catálogo KEV el 27 de septiembre de 2026. La vulnerabilidad de validación inadecuada de entradas (CWE-119) afecta a NetScaler ADC y NetScaler Gateway y puede permitir que un atacante no autenticado ejecute comandos arbitrarios.

No se proporcionó una puntuación CVSS en los datos oficiales disponibles. Se clasifica operacionalmente como crítica por la combinación de ejecución de comandos, ausencia de autenticación y explotación activa. El uso en ransomware consta como desconocido.

Riesgo

Compromiso de un dispositivo expuesto en el perímetro.
Alteración o interrupción de servicios publicados.
Acceso a información operacional y posible movimiento posterior.
Persistencia o actividad maliciosa previa a la mitigación.

La fecha límite indicada por CISA para organismos FCEB es el 30 de septiembre de 2026.

// vectores_de_ataque

Red / remoto; sin autenticación; validación inadecuada de entradas; ejecución arbitraria de comandos (RCE). Explotación activa confirmada por CISA KEV.

// versiones_afectadas

Citrix NetScaler ADC y NetScaler Gateway. Confirmar versiones y compilaciones concretas en el boletín vigente de Citrix.

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-88771

// recomendaciones_de_mitigacion

Mitigación prioritaria

Aplicar inmediatamente las mitigaciones y actualizaciones indicadas por Citrix.
Identificar todos los NetScaler ADC y Gateway, priorizando activos expuestos a Internet.
Ejecutar en la consola los IOC publicados por Citrix.
Realizar triage forense conforme a BOD 26-04 y preservar evidencia.
Si no existen mitigaciones aplicables, discontinuar el uso del producto según la instrucción CISA.
Restringir interfaces de administración, revisar cambios, sesiones y conexiones anómalas.

Importante: aplicar una corrección no descarta compromiso previo. Si hay sospechas, seguir CTX694799 y activar el proceso de respuesta a incidentes.