Hackers explotan CitrixBleed 2 para secuestrar tokens de sesión y eludir las protecciones MFA empresariales
TL;DR
Hackers explotan CitrixBleed 2 para secuestrar tokens de sesión y eludir las protecciones MFA empresariales
El mundo de la ciberseguridad se encuentra actualmente conmocionado por "CitrixBleed 2", una grave vulnerabilidad registrada como CVE-2025-5777. No se trata de un error teórico; está siendo utilizado activamente para vulnerar la infraestructura empresarial de NetScaler. En esencia, es un fallo de lectura de memoria fuera de límites. ¿En términos sencillos? Permite que atacantes no autenticados extraigan memoria sensible, secuestren sesiones de usuario activas y evadan la autenticación multifactor (MFA) como si no existiera.
No es un exploit sutil, es un golpe directo. Al enviar una única solicitud HTTP POST especialmente diseñada al endpoint /p/u/doAuthentication.do, los atacantes pueden suplantar eficazmente a usuarios legítimos. Dado que ataca directamente al gestor de autenticación, se ha convertido en la táctica preferida de los actores de amenazas que buscan establecer un punto de apoyo en las redes corporativas. Una vez dentro, obtienen acceso total, a menudo con las llaves del reino.
La escala de la brecha
Las consecuencias ya son significativas. Los informes confirman que al menos 100 organizaciones han sido comprometidas a través de CitrixBleed 2. Y aquí está el problema: a pesar de las advertencias urgentes y los parches disponibles, miles de instancias de Citrix siguen expuestas y sin actualizar.
El catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA marcó oficialmente esta vulnerabilidad el 10 de julio de 2025, lo que debería indicar el nivel de peligro. Con una puntuación CVSS de 9.3, es una situación de "dejar todo y solucionar". La causa raíz es un caso clásico de validación de entrada insuficiente (específicamente CWE-457) dentro del proceso de autenticación de NetScaler ADC y Gateway.
Bajo el capó: ¿Por qué funciona?
La vulnerabilidad afecta gravemente a los dispositivos NetScaler ADC y Gateway, particularmente aquellos que actúan como servidores virtuales VPN, ICA, CVPN, RDP o AAA. Al manipular el gestor de autenticación, los atacantes no necesitan su contraseña ni su token MFA. Ya han eludido al guardián.
Si profundizamos, el análisis técnico del exploit de CitrixBleed 2 muestra que la fuga de memoria proporciona suficientes datos de sesión para clonar la identidad de un usuario legítimo. Es quirúrgico, rápido y devastadoramente eficaz.
| Atributo | Detalles |
|---|---|
| ID de vulnerabilidad | CVE-2025-5777 |
| Puntuación CVSS | 9.3 (Crítica) |
| Causa raíz | Validación de entrada insuficiente (CWE-457) |
| Vector de ataque | HTTP POST no autenticado |
| Endpoint principal | /p/u/doAuthentication.do |
Cómo cerrar las puertas
Si utiliza infraestructura NetScaler, no tiene el lujo de esperar. Debe verificar el estado de sus parches de inmediato. La guía oficial de Citrix es su hoja de ruta para la remediación.
Esto es lo que debe hacer inmediatamente:
- Parchee todo: No solo actualice el perímetro; instale las últimas actualizaciones del proveedor en todas las instancias de NetScaler ADC y Gateway.
- Revise los registros: Busque solicitudes HTTP POST sospechosas que lleguen al endpoint
/p/u/doAuthentication.do. Si las encuentra, asuma que ha sido comprometido. - Refuerce el perímetro: Si no puede parchear de inmediato, restrinja el acceso a las interfaces de gestión y autenticación solo a rangos de IP de confianza. Es un parche temporal, pero es mejor que dejar la puerta abierta.
- Vigile las sesiones fantasma: Manténgase atento a actividades de sesión anómalas o inicios de sesión simultáneos que no coincidan con los hábitos típicos de sus usuarios.
La persistencia de esta amenaza se debe a la gran cantidad de equipos sin parches que siguen conectados a Internet. Debido a que el exploit es tan fácil de ejecutar y el beneficio (secuestro total de sesión) es tan alto, este es actualmente un objetivo de primer nivel para los ciberdelincuentes.
La realidad es que, hasta que cada instancia vulnerable sea parcheada, el riesgo sigue siendo extremadamente alto. Si aún no ha verificado su entorno, considere esto como una llamada de atención. Trate el CVE-2025-5777 como una amenaza crítica para la integridad de su red interna. No espere a recibir una alerta de que ha sido atacado: tome la iniciativa de asegurar su infraestructura ahora.
