La firma de seguridad watchTowr ha revelado detalles técnicos críticos sobre una vulnerabilidad de alta severidad (CVE-2026-88772) que afecta a los dispositivos Citrix NetScaler ADC y NetScaler Gateway. Esta falla, con una puntuación CVSS de 9.5, permite la ejecución remota de código (RCE) antes de la autenticación o un ataque de denegación de servicio (DoS), y se ha confirmado que está siendo explotada activamente en la naturaleza.
La vulnerabilidad es un desbordamiento de búfer de memoria que reside en el motor de procesamiento de paquetes de NetScaler (NSPPE), específicamente en el manejo del protocolo Datagram Transport Layer Security (DTLS). Los atacantes pueden explotar una inconsistencia en la forma en que NetScaler confía implícitamente en el tamaño de fragmento declarado en el encabezado del handshake DTLS (por ejemplo, 1 byte) mientras el encabezado del mensaje completo indica una longitud mucho mayor (por ejemplo, 120 bytes).
Esta disparidad permite a un atacante construir un registro DTLS malicioso que simula ser pequeño, pero que en realidad contiene una cantidad de datos significativamente mayor. Al no verificar si el siguiente paquete cabe en el búfer de scratch antes de escribir, se produce un desbordamiento. La investigación de watchTowr demuestra que este desbordamiento puede ser utilizado para desviar el flujo de control hacia un shellcode arbitrario con privilegios de nivel de root, superando las protecciones “no-execute” (NX) mediante la llamada al sistema mprotect(). Esto subraya la gravedad y el potencial impacto devastador de un ataque exitoso.
Citrix ha lanzado parches para corregir esta vulnerabilidad. Es imperativo que las organizaciones que utilicen Citrix NetScaler ADC y NetScaler Gateway actualicen sus sistemas a las versiones parcheadas lo antes posible. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha incluido CVE-2026-88772 en su catálogo de vulnerabilidades conocidas explotadas, lo que resalta la urgencia de aplicar las correcciones.
Qué significa para tu empresa: Una vulnerabilidad de esta magnitud en componentes críticos de infraestructura como los de Citrix NetScaler exige una respuesta inmediata. La explotación activa de fallas pre-autenticación para lograr RCE subraya la importancia de mantener los sistemas actualizados y de tener una capacidad robusta de detección y respuesta. Un “SOC con monitoreo 24/7” es fundamental para identificar y mitigar rápidamente cualquier intento de explotación, así como para asegurar que los parches sean aplicados y verificados correctamente en su infraestructura.
Fuente original: The Hacker News — ver artículo →
#cve#exploits#parches-seguridad#zero-day#ciberataques-infraestructura