Los cero días (o zero-day) son las amenazas más temidas. Hablamos de esas fallas que salen a la luz antes de que existan parches efectivos y que, como era de esperar, los ciberdelincuentes no tardan en aprovechar. Y eso es exactamente lo que está ocurriendo ahora con NetScaler, la empresa detrás de soluciones de entrega de aplicaciones y acceso remoto utilizadas por miles de organizaciones en todo el mundo.
Desde TecnetOne queremos contarte en detalle qué está pasando con esta vulnerabilidad, por qué deberías tomar medidas urgentes y qué pasos seguir para protegerte.
¿Qué pasó con NetScaler?
El 27 de agosto de 2025, NetScaler publicó un comunicado urgente: actores maliciosos están explotando de manera activa una vulnerabilidad crítica en sus dispositivos. El fallo, registrado como CVE-2025-7775, tiene una puntuación CVSS de 9.2, lo que lo coloca en la categoría de máxima gravedad.
El problema está relacionado con un desbordamiento de memoria que, si se cumplen ciertas condiciones, puede provocar dos escenarios igual de peligrosos:
- Denegación de servicio (DoS): dejar fuera de línea sistemas críticos.
- Ejecución remota de código (RCE): permitir que un atacante ejecute sus propias instrucciones en los sistemas afectados.
NetScaler instó de inmediato a todos sus clientes a aplicar las actualizaciones de seguridad disponibles.
¿Por qué esta vulnerabilidad es tan peligrosa?
La gran preocupación no es solo el fallo en sí, sino la explotación activa que ya se ha detectado. Según investigadores de Horizon3.ai, los atacantes están utilizando esta vulnerabilidad para crear puertas traseras en los sistemas comprometidos. Estas puertas pueden permanecer ocultas incluso después de que apliques el parche, lo que significa que el daño puede continuar aunque creas haber cerrado el problema.
Esto reduce drásticamente la llamada “ventana de exposición”: el tiempo que tienes entre que se revela una vulnerabilidad y se convierte en un ataque masivo.
Además, la Agencia de Ciberseguridad e Infraestructura (CISA) en Estados Unidos ya añadió el CVE-2025-7775 a su catálogo de vulnerabilidades explotadas conocidas, lo que confirma el nivel de riesgo.
Títulos similares: La Vulnerabilidad Zero-Day: ¡Actúa Ahora para Protegerte!
Cuántos equipos están expuestos
Un análisis de la Shadowserver Foundation reveló que más de 28,000 instancias de NetScaler permanecen sin parchar y expuestas en internet. La mayoría se concentra en Estados Unidos y Alemania, lo que convierte a esas regiones en los principales objetivos potenciales.
Aunque Shadowserver no había detectado aún pruebas masivas de explotación en todas esas instancias, la alerta ya es clara: si no actualizas, estás en riesgo inminente.
Condiciones para que el ataque funcione
El exploit no se puede aplicar en cualquier configuración. Para que los atacantes tengan éxito, los sistemas deben estar configurados en modo Gateway o como servidor virtual AAA.
Esto recuerda a los ataques de las vulnerabilidades CitrixBleed y CitrixBleed 2, donde también se requerían configuraciones específicas. Pero, si tu sistema cumple esas condiciones, la exposición es real.
Otras vulnerabilidades críticas en la lista
El CVE-2025-7775 no viene solo. NetScaler aprovechó el parche de agosto para solucionar otros dos fallos de seguridad:
- CVE-2025-7776: puede provocar comportamientos erróneos o nuevas denegaciones de servicio.
- CVE-2025-8424: relacionado con un control inadecuado en la interfaz de gestión de NetScaler, que podría dar a un atacante acceso no autorizado a archivos internos.
En conjunto, estos problemas refuerzan la idea de que los administradores de NetScaler deben actuar de inmediato.
El papel de la inteligencia artificial en la explotación
Una de las tendencias más preocupantes que hemos visto en 2025 es el uso de IA ofensiva para acelerar la explotación de vulnerabilidades. Herramientas como HexStrike AI han demostrado cómo actores maliciosos pueden automatizar procesos de reconocimiento y explotación en cuestión de días.
Esto significa que, incluso si el fallo se conoció hace poco, ya hay herramientas automatizadas circulando que permiten a cualquier ciberdelincuente con conocimientos medios lanzar ataques sin demasiado esfuerzo.
También podría interesarte: Identificando Ataques Zero-Day con Wazuh
Qué puedes hacer para protegerte
Si utilizas productos de NetScaler, aquí tienes los pasos inmediatos que deberías tomar:
- Aplica los parches sin demora. Descarga e instala la versión más reciente publicada por NetScaler para cerrar las vulnerabilidades CVE-2025-7775, CVE-2025-7776 y CVE-2025-8424.
- Verifica configuraciones críticas. Si tienes dispositivos en modo Gateway o AAA virtual server, refuerza la seguridad revisando accesos y permisos.
- Busca señales de intrusión. Los atacantes pueden haber instalado puertas traseras antes del parche. Revisa logs, procesos sospechosos y conexiones inusuales.
- Aísla sistemas expuestos. Si tienes instancias accesibles directamente desde internet, considera limitar el acceso solo a redes internas o mediante VPN seguras.
- Monitorea continuamente. Implementa detección de anomalías y alertas proactivas para identificar actividades fuera de lo común.
Lecciones para tu estrategia de ciberseguridad
Más allá del parche puntual, este caso deja algunas lecciones importantes:
- La velocidad importa. Los atacantes ya no esperan semanas o meses: explotan vulnerabilidades en cuestión de horas o días.
- El parche no lo es todo. Aunque actualices, si hubo intrusión previa, puede que el atacante siga dentro de tus sistemas.
- La visibilidad es clave. Debes contar con herramientas que te permitan saber qué está pasando en tu red en todo momento.
- La prevención sigue siendo la mejor defensa. Contar con copias de seguridad seguras, segmentación de red y planes de respuesta reduce drásticamente el impacto.
Conclusión
El caso de NetScaler nos recuerda que, en ciberseguridad, no hay espacio para la complacencia. Un error de configuración, un retraso en la aplicación de parches o un descuido en la monitorización pueden ser suficientes para abrir la puerta a un ataque devastador.
En TecnetOne insistimos siempre en lo mismo: la respuesta rápida y la prevención proactiva son las armas más efectivas contra los ciberdelincuentes. Mantén tus sistemas actualizados, revisa tus defensas y asegúrate de tener un plan claro en caso de incidentes.
