- CitrixBleed. Buffer over-read en el binario nsppe de NetScaler. Tokens NSC_AAAC filtrados de la memoria. MFA eludido. LockBit 3.0 comprometió a Boeing e ICBC. Dos años después, el mismo binario. Misma clase de bug. Mismo impacto. Hemos acompañado este patrón desde la primera ola y se repite con una precisión que no debería sorprender más, pero todavía sorprende.
CitrixBleed 2: el mismo bug, dos años después
CitrixBleed 2, CVE-2025-5777, CVSS 9.3, acuñado por Kevin Beaumont en junio de 2025, es la continuación directa del incidente de 2023. El endpoint cambió: doAuthentication.do en lugar de openid-configuration. El mecanismo cambió: variable no inicializada en lugar del uso incorrecto del retorno de snprintf. Lo que no cambió es lo que importa: el token NSC_AAAC en la memoria se filtra, la sesión es secuestrada, y el MFA se vuelve irrelevante después de que el token fue emitido.
La clase de bug es la misma: buffer over-read en el binario nsppe de NetScaler. La memoria que debería descartarse se lee y se expone en la respuesta HTTP. El atacante no necesita romper criptografía: lee el token directamente de la memoria del appliance. El MFA protegió la autenticación, pero después de que el token existe, es lo único que importa. Y el token está en la memoria, legible.
El giro que lo cambia todo: el parche no resuelve
El detalle que separa CitrixBleed 2 de una vulnerabilidad común es que el patching no resuelve. Los tokens robados antes del parche siguen válidos después de él. La sesión secuestrada sobrevive al upgrade. El atacante que capturó el token NSC_AAAC la semana anterior al parche mantiene acceso incluso después de que el appliance sea actualizado.
Es obligatorio cerrar todas las sesiones activas: kill aaa session -all, kill icaconnection -all, RDP, SSH, PCoIP. Rotar RADIUS, LDAP, SAML. El parche es el comienzo de la remediación, no el fin. Tratar el upgrade como punto final es el error que mantiene la puerta abierta para el atacante que ya está adentro, y que ahora está adentro con un token que el propio parche no invalida.
La escala: 5.000+ endpoints, 24% unpatched
Según datos de threat intel, más de 5.000 endpoints expuestos. Según datos de threat intel, el 24% permaneció unpatched después de un mes. La CISA agregó el CVE-2025-5777 al KEV el 10 de julio con due date de un día, un plazo que señala urgencia máxima y que deja poco espacio para la vacilación.
Amenazas ya usan CitrixBleed 2 como initial access. Según threat intel, Anubis, DragonForce y RansomHub ya fueron observados explotando la vulnerabilidad. El webserver de NetScaler no loguea el endpoint vulnerable, así que la detección depende de telemetría externa, no de los logs del propio appliance. Quien confía solo en los logs del NetScaler para detectar la explotación está ciego por diseño.
Defensa en capas: por qué un solo control no basta
Lo que protege es la capa. El WAF con virtual patching en el borde bloquea el POST malformado antes del nsppe, porque el WAF de Citrix no lo detecta: una limitación del producto que deja el appliance desprotegido contra su propio bug. El EDR con aislamiento automático contiene al atacante al pivotar de la VPN al dominio. El SOC 24/7 responde de madrugada, cuando ocurre el memory spray. Zero Trust valida la sesión continuamente en lugar de tratar el token como confiable. El Red Team simula el kill chain antes del atacante real.
Ninguna capa por sí sola resuelve. El WAF bloquea la explotación inicial. El EDR contiene el movimiento lateral. El SOC detecta el comportamiento anómalo fuera del horario comercial. Zero Trust invalida la sesión robada cuando el contexto cambia. El Red Team valida que el conjunto funciona antes del incidente real. La falla de cualquier capa es contenida por las demás: es el principio del defense in depth aplicado a un bug que sobrevive al parche.
El patrón que se repite desde 2023
Vimos este patrón repetirse desde 2023. Un appliance de perímetro con un bug de memoria. Un token que sobrevive al parche. Un atacante que trata la VPN como puerta de entrada al dominio. La diferencia entre 2023 y 2025 es el nombre del CVE: la mecánica es la misma, y la remediación que funcionó en la primera ola sigue siendo válida en la segunda.
En Tech86, esta arquitectura vive en el Blindaje de Perímetro, en el EDR/XDR con SOC 24/7, en la Seguridad Ofensiva y en la Seguridad y Cumplimiento. Es el patrón que aplicamos desde la primera ola de CitrixBleed y que sigue siendo válido contra la segunda, porque el bug cambió de nombre, pero la defensa en capas no cambió de principio.
Conclusión
El parche es el comienzo de la remediación, no el fin. Cerrar sesiones, rotar credenciales, bloquear el POST en el borde, aislar el endpoint, monitorear 24/7 y validar la sesión continuamente: ese es el conjunto que cierra la puerta que abre CitrixBleed 2. Nosotros ayudamos a las empresas a montar exactamente esta arquitectura antes de que el atacante monte la suya.