Dos zero-days sin parche en Citrix NetScaler explotados activamente: qué hacer hoy si tu empresa entra por Citrix a la VPN o a sus aplicaciones

Hoy, 27 de septiembre, The Hacker News reportó que dos fallas de ejecución remota de código en Citrix NetScaler ADC y NetScaler Gateway ya se usan en ataques reales, y Citrix todavía no publica el parche. Ejecución remota de código quiere decir que alguien, desde internet y sin usuario ni contraseña, puede correr comandos dentro del equipo.

Si en tu empresa la gente entra desde casa a la VPN o a sus aplicaciones por un portal de Citrix, esto te toca. Y si eres filial de un corporativo extranjero, es probable que ni sepas que lo usas. Aquí va qué es, cómo saber si lo tienes y qué hacer hoy, sin esperar al parche.

Qué es NetScaler y por qué está en la puerta de tu red

NetScaler es un equipo, físico o virtual, que se pone en la orilla de la red, entre internet y tus servidores. Hace tres trabajos típicos: es la puerta de la VPN, publica aplicaciones como el ERP o el escritorio virtual para que la gente entre desde cualquier lado, y reparte el tráfico entre varios servidores (a eso se le llama balanceador).

Como está mirando a internet todo el día, es el primer lugar que un atacante prueba. En nuestra experiencia también es de los equipos que menos se revisan, porque “lo puso el corporativo hace años y funciona”.

Cómo saber si tu empresa lo usa

Es más fácil de lo que suena. Pregúntale al de contabilidad cómo entra al sistema cuando trabaja desde casa. Si abre una página con logotipo de Citrix, si usa la app Citrix Workspace o si la pantalla de acceso dice “NetScaler Gateway” o “Citrix Gateway”, lo usan.

Otras pistas: la dirección de entrada es algo tipo acceso.tuempresa.com y ahí mismo vive la VPN, o el corporativo en Estados Unidos o España les “publica” las aplicaciones. Si nadie en la planta sabe quién lo administra, esa es la primera llamada del día: al corporativo o al proveedor.

Qué hacer hoy, mientras no hay parche

Un zero-day es una falla que los atacantes ya usan antes de que el fabricante tenga el arreglo. No puedes parchar, pero sí puedes estorbarles.

Medida	Por qué ayuda
Sacar la interfaz de administración de internet	Es la puerta más peligrosa y casi nunca necesita estar pública
Restringir por IP lo que sí debe seguir visible	Un atacante desde cualquier país deja de poder tocarlo
Revisar sesiones activas y cuentas creadas hace poco	Quien ya entró suele dejarse un usuario “de repuesto”
Buscar web shells y archivos raros en el equipo	Un web shell es un archivo escondido que les permite volver cuando quieran
Vigilar los logs a diario	Accesos a horas raras o desde países donde no tienes gente son la señal

Si alguna aplicación publicada no se usa desde hace meses, apágala. Es muy común encontrar un portal viejo que nadie recuerda y sigue abierto.

Ten el parche listo antes de que exista

Suena raro, pero es lo que más tiempo ahorra. Cuando Citrix publique, no quieres empezar a averiguar quién tiene la contraseña del equipo.

Deja listo desde hoy: un respaldo de la configuración, la ventana de mantenimiento acordada con las áreas (de noche o fin de semana), quién avisa a los usuarios y cómo regresas si algo sale mal. Si tienes dos NetScaler en alta disponibilidad (uno respalda al otro), parcha uno, prueba, y luego el otro. Así la gente sigue trabajando.

Si tu corporativo está en otro país

Muchas filiales en México viven justo este escenario: la alerta llega del corporativo a las 3 de la mañana hora local, el equipo está en un rack en Querétaro y nadie en la planta sabe dónde está el cable de consola.

Ahí es donde unas manos locales cambian todo: alguien que entre al site, confirme modelo y versión, aplique lo que el corporativo indique y reporte con evidencia. Es lo que contamos en cómo dar soporte TI en sitio desde el extranjero.

Hablemos

¿Y en tu empresa?

Si alguien entra por Citrix a tu VPN o a sus aplicaciones, hoy toca revisar el perímetro, no la semana que entra. En ProcessBi hacemos esa revisión urgente, aplicamos las mitigaciones sin tirar la operación y, en cuanto Citrix publique, parchamos en ventana de mantenimiento. Para corporativos en el extranjero, somos las manos en México.

Pide tu revisión sin costo — respondemos el mismo día hábil.