Incidente derivado de explotación de vulnerabilidad crítica CVE-2026-3055 (Citrix)

Incidente derivado de explotación de vulnerabilidad crítica CVE-2026-3055 (Citrix) es el nombre que recibe la ola de ataques dirigidos a dispositivos NetScaler ADC y Gateway (anteriormente Citrix ADC y Gateway) que comenzó a finales de marzo de 2026, aprovechando una vulnerabilidad crítica de lectura fuera de límites (memory overread). El incidente es significativo por la rapidez con la que se produjo la transición desde la divulgación pública hasta la explotación activa en la naturaleza, así como por la facilidad de ejecución del ataque y el alto impacto potencial, que permite a atacantes no autenticados obtener IDs de sesión administrativas y tomar control completo de los dispositivos expuestos.

Nombres Alternativos / Aliases

CitrixBleed 2 (Por similitud con vulnerabilidades anteriores)
Memory Overread en NetScaler (Descripción técnica)
Fuga de Memoria en SAML IDP (Por la configuración afectada)
CVE-2026-3055 (Identificador oficial)

Fecha de Detección / Actividad

Fecha de Divulgación Inicial: 23 de marzo de 2026 (Citrix publica el boletín de seguridad CTX696300).
Publicación de Análisis Técnico (Parte 1): Antes del 29 de marzo de 2026 (watchTowr publica análisis inicial).
Publicación de Análisis Técnico (Parte 2): 29 de marzo de 2026 (watchTowr revela el segundo vector en /wsfed/passive?wctx).
Explotación Activa Detectada: 27 de marzo de 2026 (watchTowr confirma intentos de explotación desde IPs conocidas en su red de honeypots).
Inclusión en Catálogo KEV de CISA: 30 de marzo de 2026 (CISA añade la vulnerabilidad al catálogo con fecha de mitigación para el 2 de abril de 2026).
Publicación de PoC Pública: 31 de marzo de 2026 (se publican exploits funcionales en repositorios públicos como GitHub).
Estado: Activa. Se han publicado parches, pero la explotación activa está en curso. Se requiere acción inmediata de mitigación.

Actor de Amenaza (Atribución)

Nombre del Grupo / Investigador: No se atribuye a un grupo de amenazas específico en los reportes iniciales. La vulnerabilidad fue descubierta y reportada por investigadores de watchTowr Labs (Aliz Hammond) como parte de su investigación sobre la seguridad de los appliances de red.
Tipo de Actor: Investigación de seguridad. Sin embargo, la vulnerabilidad está siendo explotada activamente por actores de amenazas no identificados desde al menos el 27 de marzo de 2026.
Motivación: Para los atacantes, la motivación es el acceso no autorizado a dispositivos críticos de infraestructura para robo de datos, movimiento lateral, despliegue de ransomware o establecimiento de persistencia en entornos corporativos.
Sofisticación: Baja para la explotación (una simple solicitud GET malformada), pero alta en cuanto al impacto potencial. La vulnerabilidad es trivial de explotar una vez conocida.

Resumen Ejecutivo

La vulnerabilidad CVE-2026-3055 reside en la validación insuficiente de entrada en NetScaler ADC y Gateway cuando están configurados como proveedores de identidad SAML (SAML IDP). Los investigadores de watchTowr Labs descubrieron que un mismo CVE fue asignado para cubrir al menos dos fallas distintas en diferentes endpoints: /saml/login y /wsfed/passive?wctx. El segundo vector resultó ser particularmente crítico.

Un atacante puede explotar la vulnerabilidad enviando una solicitud GET al endpoint /wsfed/passive con un parámetro wctx presente pero sin valor ni el signo =. Debido a un error en la lógica de validación, el dispositivo accede a un buffer de memoria que no corresponde al parámetro, filtrando su contenido en la cookie NSC_TASS codificada en Base64. Esta fuga de memoria puede contener información altamente sensible, como IDs de sesión de administradores autenticados activos, cabeceras HTTP, cookies de autenticación, URLs internas y otra información que permitiría a un atacante secuestrar sesiones administrativas y obtener control total sobre el appliance.

Citrix publicó un boletín de seguridad el 23 de marzo de 2026 con las versiones parcheadas. Sin embargo, watchTowr confirmó que para el 27 de marzo de 2026 ya se habían detectado intentos de explotación activa desde direcciones IP conocidas de actores de amenazas. La rápida publicación de pruebas de concepto (PoC) funcionales ha acelerado el riesgo, llevando a CISA a incluir la vulnerabilidad en su catálogo KEV el 30 de marzo de 2026, exigiendo a las organizaciones federales de EE. UU. aplicar las mitigaciones antes del 2 de abril de 2026.

Vectores de Ataque

Solicitud HTTP Malformada (T1190): El ataque se realiza a través de una solicitud GET al endpoint /wsfed/passive con el parámetro wctx presente pero sin valor. La solicitud no requiere autenticación y puede ser enviada por cualquier atacante con acceso a la red.
Configuración SAML IDP (Condición Necesaria): La vulnerabilidad solo es explotable si el dispositivo NetScaler está configurado como un proveedor de identidad SAML (SAML IDP). Esta configuración es común en entornos empresariales que utilizan NetScaler como punto de autenticación para aplicaciones.
Acceso a la Red: El atacante necesita tener capacidad de enviar tráfico HTTP/HTTPS al dispositivo NetScaler, ya sea desde la red interna o desde internet si el dispositivo está expuesto.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Exploit Public-Facing Application (T1190)	El atacante explota la vulnerabilidad de lectura fuera de límites en el endpoint `/wsfed/passive?wctx` del NetScaler expuesto a internet o en la red interna.
Colección (TA0009)	Data from Information Repositories (T1213)	El atacante envía solicitudes repetidas para recolectar grandes cantidades de memoria filtrada, almacenada en la cookie `NSC_TASS`.
Colección (TA0009)	Data Staged (T1074)	Los datos filtrados (que incluyen IDs de sesión, cookies, etc.) son almacenados por el atacante para su posterior uso.
Credential Access (TA0006)	Unsecured Credentials (T1552)	El atacante extrae credenciales, cookies de sesión y tokens de autenticación de la memoria filtrada, que están presentes en texto claro dentro de los volcados de memoria.
Escalada de Privilegios (TA0004)	Valid Accounts (T1078)	Utilizando los IDs de sesión administrativa filtrados, el atacante puede secuestrar sesiones activas de administradores, escalando privilegios a administrador del dispositivo.
Evasión de Defensas (TA0005)	Obfuscated Files or Information (T1027)	La memoria filtrada es devuelta por el dispositivo codificada en Base64 dentro de la cookie `NSC_TASS`, lo que puede dificultar su detección superficial.

Flujo de Ataque (Kill Chain)

Reconocimiento: El atacante escanea en busca de dispositivos NetScaler ADC/Gateway expuestos, particularmente aquellos configurados como SAML IDP.
Compromiso Inicial (Explotación): El atacante envía una solicitud GET al endpoint /wsfed/passive?wctx (sin valor en el parámetro) al dispositivo objetivo.
Exfiltración de Memoria: El dispositivo vulnerable responde con una cookie NSC_TASS que contiene un volcado de memoria (de hasta varios KB) codificado en Base64. El atacante repite este proceso múltiples veces para recolectar diferentes segmentos de memoria.
Extracción de Datos: El atacante decodifica las cookies NSC_TASS y analiza los volcados de memoria en busca de datos sensibles: IDs de sesión, cookies de autenticación, cabeceras HTTP, etc.
Secuestro de Sesión: Utilizando un ID de sesión administrativa válido filtrado, el atacante lo introduce en su navegador o herramientas de automatización, obteniendo acceso no autenticado como administrador del dispositivo NetScaler.
Acciones Posteriores: Con acceso administrativo al NetScaler, el atacante puede moverese lateralmente dentro de la red, robar más datos, desplegar malware, o utilizar el dispositivo como punto de pivote para ataques posteriores.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Dispositivo Víctima	NetScaler ADC, NetScaler Gateway (versiones afectadas).	Infraestructura objetivo. El dispositivo filtra su propia memoria debido a la vulnerabilidad.
Herramientas del Atacante	Navegador web, scripts en Python (como los publicados por watchTowr y fevar54), herramientas de automatización.	Para enviar las solicitudes maliciosas, recolectar y decodificar las cookies, y extraer datos sensibles.
Repositorios Públicos	GitHub (fevar54, entre otros).	Plataforma para la distribución pública de pruebas de concepto (PoC) y exploits funcionales.
Red de Honeypots	watchTowr Labs.	Utilizada para detectar la explotación activa en la naturaleza y confirmar la actividad de actores de amenazas.

Objetivos y Sectores Atacados

Objetivo Principal: Dispositivos NetScaler ADC y Gateway (también conocidos como Citrix ADC y Gateway) en su versión gestionada por el cliente.
Sectores Afectados: Organizaciones de todos los sectores que utilicen estos dispositivos para balanceo de carga, acceso remoto (VPN) y autenticación federada. Especialmente crítico en sectores como gobierno, salud, finanzas, tecnología y telecomunicaciones.
Sistemas Afectados: La infraestructura de red y autenticación perimetral de las organizaciones. El compromiso de un NetScaler puede exponer toda la red interna.

Impacto y Riesgo

Nivel de Riesgo: Crítico. CVSS v4.0 score de 9.3 (según el CNA de NetScaler).
Impacto en la Confidencialidad: Alto. Filtración de memoria que contiene información sensible como IDs de sesión, cookies, cabeceras HTTP, y potencialmente credenciales en texto claro.
Impacto en la Integridad: Alto. Un atacante puede secuestrar sesiones administrativas y modificar la configuración del dispositivo, desviar tráfico, o deshabilitar controles de seguridad.
Impacto en la Disponibilidad: Potencial. Un atacante con control administrativo puede apagar el dispositivo o reconfigurarlo para causar denegación de servicio.
Impacto Financiero: Costos de respuesta a incidentes, rotación masiva de credenciales, potenciales multas regulatorias, y riesgo de ransomware si el acceso es utilizado para desplegar cargas maliciosas en la red.

Recomendaciones de Mitigación

Recomendaciones Técnicas (Mitigación)

Actualizar Inmediatamente: Aplicar los parches proporcionados por Cloud Software Group sin demora. Las versiones corregidas son:
- NetScaler ADC y Gateway: 14.1-60.58 o posterior; 13.1-62.23 o posterior.
- NetScaler ADC FIPS y NDcPP: 13.1-37.262 o posterior.
Aplicar Mitigaciones Temporales: Si no es posible actualizar inmediatamente, seguir las instrucciones del boletín de Citrix (CTX696300) para mitigaciones temporales. Esto puede incluir restricciones de acceso a los endpoints vulnerables.
Restringir Acceso: Limitar el acceso administrativo y a los endpoints afectados (/saml/login, /wsfed/passive) a direcciones IP confiables mediante políticas de firewall o ACLs.
Rotación de Secretos: Asumir el compromiso de los dispositivos no parcheados. Rotar todas las contraseñas administrativas, claves API, y credenciales que pudieran haber estado expuestas en la memoria del dispositivo.
Monitoreo Activo: Buscar en los logs de acceso peticiones al endpoint /wsfed/passive?wctx (sin el signo =). También monitorear la presencia de la cookie NSC_TASS de tamaño anómalo en las respuestas.

Herramientas de Detección

WAF (Web Application Firewall): Configurar reglas para detectar y bloquear solicitudes al endpoint /wsfed/passive con el parámetro wctx presente pero sin valor o sin el signo =.
SIEM / Correlación de Logs: Crear alertas para patrones de acceso al endpoint /wsfed/passive con el parámetro wctx vacío, especialmente desde direcciones IP inusuales o con alta frecuencia.
Herramientas de Escaneo de Vulnerabilidades: Utilizar escáneres actualizados para identificar dispositivos NetScaler vulnerables (CVE-2026-3055) en el perímetro de la organización.
Análisis de Tráfico de Red: Monitorizar respuestas HTTP que contengan cookies NSC_TASS con longitudes inusualmente grandes (varios KB), ya que la cookie normalmente no contiene datos de ese tamaño.
Enlace de herramienta Free para detección por github: https://github.com/fevar54/CVE-2026-3055-Scanner---Herramienta-de-Detecci-n

Indicadores de Compromiso (IOCs)

Artefactos en el Sistema de la Víctima

Solicitudes Anómalas en Logs: Entradas en los logs de acceso que muestren solicitudes GET a /wsfed/passive con wctx como parámetro sin valor.
- Ejemplo: GET /wsfed/passive?wctx HTTP/1.1
Cookies de Respuesta Anómalas: Presencia de la cookie NSC_TASS con un valor inusualmente largo (cientos o miles de caracteres) en las respuestas HTTP.

Infraestructura de C2 y Explotación

Direcciones IP de Actores Conocidos: Se recomienda consultar fuentes de inteligencia de amenazas para obtener IPs asociadas con la explotación activa (watchTowr reportó actividad desde IPs conocidas a partir del 27 de marzo de 2026).
Patrones de Solicitud: Solicitudes automatizadas con alta frecuencia al endpoint vulnerable, a menudo con tiempos entre solicitudes pequeños.

Referencias y Fuentes

watchTowr Labs. (2026, Marzo 29). *Please, We Beg, Just One Weekend Free Of Appliances (Citrix NetScaler CVE-2026-3055 Memory Overread Part 2)*. (Aliz Hammond).
Cloud Software Group. (2026, Marzo 23). *NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-3055 and CVE-2026-4368* (CTX696300).
CISA. (2026, Marzo 30). *Known Exploited Vulnerabilities Catalog – CVE-2026-3055*.
NIST NVD. (2026). *CVE-2026-3055 Detail*.
MITRE ATT&CK Framework: Mapeo de TTPs (T1190, T1078, T1552, T1213, etc.).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-31	1.0	Fernando Vargas Hincapié	Creación inicial de la entrada basada en el boletín de seguridad de Citrix, el análisis de watchTowr Labs, la entrada en el catálogo KEV de CISA y la publicación de pruebas de concepto públicas.

Etiquetas / Categorías

cve-2026-3055 citrix netscaler citrix-adc citrix-gateway memory-overread saml-idp fuga-de-memoria exploit critical cisa-kev t1190 t1078 t1552 vulnerabilidad watchtowr seguridad-perimetral