CISA da plazo hasta el 29 de agosto por fallo de Citrix

La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ordenó a las agencias federales parchear una vulnerabilidad de Citrix NetScaler antes del sábado 29 de agosto, después de que investigadores de seguridad demostraran que el fallo es mucho más peligroso de lo que se reveló inicialmente y que ahora está siendo explotado activamente.

La vulnerabilidad, identificada como CVE-2026-8452, afecta a los dispositivos Citrix NetScaler ADC y NetScaler Gateway configurados con servidores virtuales Gateway VPN o AAA. Citrix reveló y parcheó el fallo de desbordamiento de memoria el 30 de junio, describiéndolo únicamente como capaz de causar "comportamiento impredecible o erróneo y denegación de servicio". Esa valoración cambió el 14 de agosto, cuando investigadores de watchTowr Labs publicaron un análisis técnico y código de prueba de concepto que demostraba que el mismo fallo podía encadenarse para lograr ejecución remota de código completa, sin autenticación y con privilegios de root.

La explotación activa comenzó poco después de que se publicara el análisis de watchTowr. La firma de inteligencia de amenazas Defused confirmó los primeros intentos de explotación, y la empresa de seguridad Previdian dijo haber observado a atacantes instalando shells web, llamados x.php y z.php, y ejecutando comandos de reconocimiento en dispositivos comprometidos desde sistemas ubicados en tres países distintos. Varios investigadores han descrito el patrón como ataques indiscriminados, en los que los atacantes lanzan intentos de explotación de forma masiva contra dispositivos expuestos a internet en lugar de dirigirse a organizaciones específicas.

CISA añadió CVE-2026-8452 a su catálogo de vulnerabilidades explotadas conocidas el 26 de agosto y, en virtud de la Directiva Operativa Vinculante 26-04, ordenó a las agencias del Poder Ejecutivo Civil Federal asegurar todos los dispositivos NetScaler vulnerables antes del 29 de agosto. La directiva se aplica específicamente a las agencias federales de EE. UU., pero los investigadores de seguridad instan a cualquier organización que use NetScaler ADC o Gateway a tratar el parche como urgente.

Las correcciones están disponibles en las versiones 14.1-72.61, 13.1-63.18 y 13.1-37.272 de NetScaler. Según los informes más recientes, el propio aviso de seguridad de Citrix no había sido actualizado para reconocer la explotación en entornos reales. El servicio de escaneo de internet Shadowserver ha rastreado más de 22.000 dispositivos NetScaler ADC expuestos y casi 1.800 instancias de Gateway expuestas en línea; se desconoce cuántos de ellos ya han aplicado el parche.