CISA suma una cuarta falla explotada en Citrix NetScaler en seis semanas

CVE-2026-88779, un desbordamiento de memoria en NetScaler ADC y Gateway, se agregó al catálogo KEV por explotación activa. Es la cuarta vulnerabilidad de este producto que CISA confirma explotada desde fines de agosto, y organizaciones que ya parchearon las anteriores igual deben revisar esta.

Qué pasó

El 4 de octubre de 2026, CISA sumó CVE-2026-88779 a su catálogo *Known Exploited Vulnerabilities* (KEV). La falla se describe como una vulnerabilidad de "Improper Restriction of Operations within the Bounds of a Memory Buffer" en Citrix NetScaler (familia ADC/Gateway), y el criterio de inclusión en el catálogo es —como en todos los casos de KEV— evidencia de explotación activa, no solo severidad teórica.

El aviso original de CISA es breve: nombra la CVE, confirma explotación activa y remite a la Binding Operational Directive (BOD) 26-04, que obliga a las agencias del gobierno federal de EE.UU. a priorizar la remediación según el riesgo del KEV. No especifica en este comunicado un plazo de remediación concreto para esta CVE puntual — a diferencia del aviso anterior de la misma familia (27 de septiembre), que sí fijó el 30 de septiembre como fecha límite para CVE-2026-88771 y CVE-2026-88778.

Tampoco se publican aquí el vector de entrada, un CVSS, ni indicadores de compromiso. Eso es consistente con el patrón que CISA ha seguido con las fallas anteriores de NetScaler: el aviso de inclusión en KEV llega primero, y el detalle técnico aparece después, vía el fabricante o investigación independiente.

Lo que sabemos de la misma familia de fallas, por fecha

• Fin de agosto 2026: CVE-2026-8452, originalmente catalogada como denegación de servicio, reclasificada a RCE no autenticada tras nueva investigación.
• 27 de septiembre 2026: CISA publica aviso específico sobre "Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway" — dos zero-days (CVE-2026-88771 y CVE-2026-88778), con plazo de parcheo federal al 30 de septiembre.
• 30 de septiembre – 1 de octubre 2026: cobertura técnica independiente detalla una cadena pre-auth hacia ejecución de shellcode asociada a CVE-2026-88772, y describe actividad de post-explotación —creación de cuentas de superusuario y web shells mapeados a rutas con apariencia de hojas de estilo (.css)— en instancias comprometidas de esta misma familia de fallas.
• 4 de octubre 2026: CVE-2026-88779, la pieza que origina este análisis.

Por qué importa acá

Citrix NetScaler ADC y Gateway son productos de borde: se despliegan exactamente en el punto donde una red corporativa se conecta a Internet, típicamente como VPN de acceso remoto o balanceador de aplicaciones. Es una categoría de producto con adopción amplia en banca, telecomunicaciones y sector público en Chile y la región — no porque tengamos una víctima chilena confirmada en este caso (no la hay y no la vamos a inventar), sino porque es, estructuralmente, el tipo de dispositivo que una organización mediana o grande en Chile probablemente tiene desplegado.

Si tu organización opera una instancia de NetScaler ADC o Gateway expuesta a Internet, esto te aplica directamente, independiente de si ya pasaste por los parches de septiembre. Una falla nueva en el mismo producto no se cubre retroactivamente con el parche anterior.

Además, si tu organización es un Operador de Importancia Vital (OIV) bajo la Ley 21.663 y detectas explotación de esta vulnerabilidad, el deber de reportar el incidente a ANCI se activa independientemente de que el aviso original sea de origen estadounidense — la obligación nace del impacto en tu operación, no de la nacionalidad del CVE.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — CVE-2026-88779 es una corrupción de memoria en un dispositivo de borde expuesto a Internet (NetScaler ADC/Gateway); la explotación activa confirmada por CISA es consistente con esta técnica, aunque el vector exacto de la CVE no es público.
• T1505.003 — Confianza media, fuente única: reporte del 1 de octubre describe web shells mapeados a rutas con apariencia de hoja de estilo (.css) en instancias comprometidas de esta familia de fallas. No confirmado específicamente para CVE-2026-88779.
• T1136.001 — Confianza media, fuente única: el mismo reporte describe creación de cuentas de superusuario en el plano de administración de NetScaler tras la explotación inicial.

title: Indicios de post-explotación en Citrix NetScaler
id: a3f1c9e2-7d4b-4a1e-9c3f-6b8a2d4e5f71
status: experimental
description: >
  Detecta dos patrones de post-explotación reportados en la campaña activa
  contra Citrix NetScaler ADC/Gateway (CVE-2026-88771, -88772, -88778, -88779):
  creación de cuentas de superusuario fuera de ventana de cambio, y solicitudes
  HTTP POST a rutas que terminan en .css, patrón asociado a web shells camuflados.
  Requiere centralizar el log de auditoría y de acceso HTTP de NetScaler.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/04/cisa-adds-one-known-exploited-vulnerability-catalog
  - https://thehackernews.com/2026/10/citrix-netscaler-post-exploitation.html
logsource:
  category: application
  product: citrix
detection:
  selection_superuser:
    EventMessage|contains:
      - 'superuser'
      - 'Added System User'
  selection_webshell:
    http_method: 'POST'
    url_path|endswith: '.css'
  condition: 1 of selection_*
fields:
  - src_ip
  - user
  - url_path
falsepositives:
  - Automatización interna que crea cuentas administrativas en ventanas de cambio programadas
  - Aplicaciones legítimas que sirven hojas de estilo dinámicas vía POST (poco común)
level: high

CommonSecurityLog
| where DeviceVendor == "Citrix" and DeviceProduct has "NetScaler"
| where (Message has "superuser" or Message has "Added System User")
   or (RequestMethod == "POST" and RequestURL endswith ".css")
| project TimeGenerated, DeviceVendor, DeviceProduct, SourceIP, DestinationIP, Message, RequestURL

index=netscaler (Message="*superuser*" OR Message="*Added System User*")
OR (index=netscaler http_method=POST url_path="*.css")
| table _time, src_ip, user, url_path, Message

SELECT DATEFORMAT(devicetime,'YYYY-MM-dd HH:mm:ss') AS tiempo, sourceip, username, URL, payload
FROM events
WHERE LOGSOURCETYPENAME(logsourcetypeid) = 'Citrix NetScaler'
AND (payload ILIKE '%superuser%' OR payload ILIKE '%Added System User%'
     OR (URL ILIKE '%.css' AND "HTTP Method" = 'POST'))
LAST 7 DAYS

Fuentes

• CISACISA Adds One Known Exploited Vulnerability to Catalog · 2026-10-04
• CISACritical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway · 2026-09-27
• CSA LabsCitrix NetScaler Zero-Days Under Active Global Exploitation · 2026-09-28
• Hispasec una-al-díaCISA da de plazo hasta el 30 de septiembre para parchear dos fallos críticos en Citrix NetScaler ya explotados · 2026-09-28
• Segu-InfoExplotación activa de dos Zero-Day RCE sin parchear en Citrix NetScaler ADC y NetScaler Gateway (CVE-2026-88771 - CVE-2026-88778) · 2026-09-27
• The Hacker NewsCitrix NetScaler CVE-2026-88772 Exploit Details Show Pre-Auth Path to Shellcode Execution · 2026-09-30
• The Hacker NewsCitrix NetScaler Post-Exploitation Payload Creates Superuser, Maps Web Shell to CSS-Like URLs · 2026-10-01

Relacionado