Las vulnerabilidades sin parche, conocidas como zero-day, siguen siendo una de las amenazas más peligrosas para las empresas. En los últimos meses, investigadores de Amazon Threat Intelligence descubrieron que un grupo avanzado de atacantes explotó fallas críticas en Citrix y Cisco antes de que estas compañías publicaran las correcciones de seguridad.
Los ataques aprovecharon dos vulnerabilidades graves:
Ambas fueron utilizadas como zero-days, es decir, se explotaron antes de que existieran parches o alertas públicas. Este hallazgo deja claro que incluso los entornos corporativos más protegidos pueden ser vulnerables si no cuentan con monitoreo constante ni una estrategia integral de seguridad.
El equipo de inteligencia de amenazas de Amazon analizó datos de su sistema MadPot, una red de honeypots diseñada para detectar actividad maliciosa. Según sus reportes, los intentos de explotación de Citrix Bleed 2 comenzaron antes de que la vulnerabilidad se hiciera pública, lo que indica que los atacantes ya conocían la falla y la estaban usando en secreto.
Durante la investigación, Amazon detectó un comportamiento anómalo en los mismos ataques: un payload inusual que también afectaba a Cisco ISE. Este descubrimiento permitió identificar una segunda vulnerabilidad, la CVE-2025-20337, que utilizaba un proceso de deserialización inseguro para ejecutar código malicioso dentro del sistema.
Esta falla permite una lectura de memoria fuera de límites (out-of-bounds memory read), lo que podría exponer información sensible o credenciales internas. Afecta a NetScaler ADC y Gateway, herramientas ampliamente utilizadas para la gestión de aplicaciones y el acceso remoto seguro en grandes corporaciones.
Citrix publicó parches en junio de 2025, pero para entonces ya circulaban exploits públicos y la agencia estadounidense CISA confirmó que se trataba de una vulnerabilidad explotada activamente.
El problema en Cisco Identity Services Engine es aún más grave. Con una puntuación de severidad máxima, permite a un atacante sin autenticación almacenar archivos maliciosos, ejecutar comandos arbitrarios y obtener privilegios de administrador (root) en los dispositivos afectados.
Cisco publicó su aviso de seguridad el 17 de julio de 2025, advirtiendo que la falla ya estaba siendo explotada. Apenas cinco días después, se confirmaron ataques activos, y el investigador Bobby Gould publicó detalles técnicos sobre cómo encadenar vulnerabilidades para obtener acceso total.
El análisis de Amazon reveló que los atacantes usaron ambas vulnerabilidades en conjunto para infiltrarse en redes empresariales. Tras explotar Citrix Bleed 2, se movieron lateralmente hacia dispositivos Cisco ISE, donde desplegaron un web shell personalizado llamado “IdentityAuditAction”.
Este archivo malicioso estaba disfrazado como un componente legítimo de ISE, y funcionaba como una puerta trasera persistente. Entre sus características más sofisticadas destacan:
Todo esto indica un alto nivel de conocimiento técnico sobre la arquitectura de Java, Tomcat y Cisco ISE, algo que solo un grupo APT (Amenaza Persistente Avanzada) con amplios recursos podría lograr.
Amazon no pudo atribuir los ataques a ningún grupo conocido, aunque las técnicas y la sofisticación sugieren una operación respaldada por una organización bien financiada. Sin embargo, lo curioso fue que los ataques no parecían dirigidos a un objetivo específico, sino más bien indiscriminados, lo cual es inusual para actores APT que normalmente operan con precisión quirúrgica.
Esto podría significar que los atacantes estaban probando las vulnerabilidades antes de lanzar una campaña más amplia, o que buscaban recopilar información inicial sobre posibles víctimas.
Lee más: Identificando Ataques Zero-Day con Wazuh
Este incidente deja varias lecciones importantes para las empresas y los equipos de ciberseguridad:
Desde TecnetOne te sugerimos adoptar un enfoque de defensa en profundidad frente a amenazas zero-day como estas. Aquí algunos pasos esenciales:
Este caso demuestra que incluso los proveedores más grandes del mundo, como Citrix y Cisco, pueden ser vulnerables antes de conocer sus propias fallas. Los atacantes se adelantan, analizan el software empresarial más usado y buscan puntos débiles invisibles.
En este contexto, la ciberseguridad preventiva ya no es opcional: es la única manera de sobrevivir. La clave está en anticiparse, reforzar los controles internos y monitorear el comportamiento del entorno digital las 24 horas.
En TecnetOne, creemos que la seguridad no debe ser una reacción, sino una práctica constante. Los ataques zero-day son inevitables, pero su impacto puede reducirse drásticamente con una estrategia sólida, visibilidad total y cultura digital consciente.