Hackers explotan CitrixBleed 2 para secuestrar tokens de sesión y evadir protecciones MFA empresariales
TL;DR
Hackers explotan CitrixBleed 2 para secuestrar tokens de sesión y evadir protecciones MFA empresariales
El mundo de la ciberseguridad está conmocionado por "CitrixBleed 2", una grave amenaza registrada como CVE-2025-5777. No es solo otro error teórico; está siendo utilizado activamente para vulnerar la infraestructura empresarial de NetScaler. En esencia, se trata de una falla de lectura de memoria fuera de límites (out-of-bounds). ¿En términos sencillos? Permite que atacantes no autenticados extraigan memoria sensible, secuestren sesiones de usuario activas y pasen por alto la autenticación de múltiples factores (MFA) como si no existiera.
No es un exploit sutil. Es un golpe directo. Al enviar una única solicitud HTTP POST especialmente diseñada al endpoint /p/u/doAuthentication.do, los atacantes pueden suplantar eficazmente a usuarios legítimos. Debido a que ataca directamente al gestor de autenticación, se ha convertido en la táctica preferida de los actores de amenazas que buscan establecer un punto de apoyo en las redes corporativas. Una vez dentro, obtienen acceso total, a menudo con las llaves del reino.
La escala de la brecha
Las consecuencias ya son significativas. Los informes confirman que al menos 100 organizaciones han sido comprometidas a través de CitrixBleed 2. Y aquí está el problema: a pesar de las advertencias urgentes y los parches disponibles, miles de instancias de Citrix siguen expuestas, abiertas y sin parches.
El catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA marcó oficialmente esta vulnerabilidad el 10 de julio de 2025, lo que debería indicar el nivel de peligro. Con una puntuación CVSS de 9.3, es una situación de "dejar todo y solucionar". La causa raíz es un caso clásico de validación de entrada insuficiente (específicamente CWE-457) dentro del proceso de autenticación de NetScaler ADC y Gateway.
Bajo el capó: Por qué funciona
La vulnerabilidad afecta gravemente a los dispositivos NetScaler ADC y Gateway, particularmente aquellos que actúan como servidores virtuales VPN, ICA, CVPN, RDP o AAA. Al manipular el gestor de autenticación, los atacantes no necesitan tu contraseña y, ciertamente, no necesitan tu token MFA. Ya han evadido al portero.
Si quieres profundizar, el análisis técnico del exploit de CitrixBleed 2 muestra que la fuga de memoria proporciona suficientes datos de sesión para clonar la identidad de un usuario legítimo. Es quirúrgico, rápido y devastadoramente efectivo.
| Atributo | Detalles |
|---|---|
| ID de vulnerabilidad | CVE-2025-5777 |
| Puntuación CVSS | 9.3 (Crítica) |
| Causa raíz | Validación de entrada insuficiente (CWE-457) |
| Vector de ataque | HTTP POST no autenticado |
| Endpoint principal | /p/u/doAuthentication.do |
Cómo cerrar las puertas
Si utilizas infraestructura NetScaler, no tienes el lujo de esperar. Debes verificar el estado de tus parches de inmediato. La guía oficial de Citrix es tu hoja de ruta para la remediación.
Esto es lo que debes hacer de inmediato:
- Parchea todo: No solo protejas el perímetro; instala las últimas actualizaciones del proveedor en todas las instancias de NetScaler ADC y Gateway.
- Revisa los registros: Busca solicitudes HTTP POST sospechosas que lleguen al endpoint
/p/u/doAuthentication.do. Si las ves, asume que has sido comprometido. - Refuerza el perímetro: Si no puedes parchear de inmediato, restringe el acceso a las interfaces de gestión y autenticación solo a rangos de IP de confianza. Es un parche temporal, pero es mejor que dejar la puerta abierta.
- Vigila las sesiones fantasma: Mantente atento a actividades de sesión anómalas o inicios de sesión concurrentes que no coincidan con los hábitos típicos de tus usuarios.
La persistencia de esta amenaza se debe a la gran cantidad de equipos sin parches que siguen conectados a Internet. Debido a que el exploit es tan fácil de ejecutar y el beneficio (secuestro total de sesión) es tan alto, este es actualmente un objetivo de primer nivel para los ciberdelincuentes.
La realidad es que, hasta que cada instancia vulnerable sea parcheada, el riesgo sigue siendo extremadamente alto. Si aún no has verificado tu entorno, considera esto tu llamada de atención. Trata el CVE-2025-5777 como una amenaza crítica para la integridad de tu red interna, porque eso es exactamente lo que es. No esperes a que una alerta te avise que has sido atacado: toma la iniciativa de asegurar tu infraestructura ahora.
