El incidente se originó por vulnerabilidades críticas (CVE-2026-88771 y CVE-2026-88772) en Citrix NetScaler Gateway, que permitían la ejecución de comandos no autenticados y ataques de denegación de servicio. La causa raíz fue la exposición directa de la superficie de autenticación del Gateway a Internet, una necesidad operativa para permitir el acceso remoto, pero un riesgo inherente si no se protege adecuadamente. La falla principal fue la capacidad de un atacante para eludir los controles de autenticación y ejecutar código arbitrario antes de que se estableciera una sesión legítima.
Las salvaguardas tradicionales, como los parches de software, son reactivas y requieren un despliegue manual, lo que introduce una ventana de vulnerabilidad. Aunque los WAF pueden ofrecer una mitigación temporal al bloquear firmas de ataque conocidas, son también reactivos y no protegen contra variantes nuevas o exploits de día cero. La arquitectura por defecto del NetScaler, donde el Gateway debe ser públicamente accesible, creó un punto único de fallo que, una vez comprometido, permitía el acceso al servidor de aplicaciones.
La cascada de fallo se evitó en parte por la rápida respuesta de Cloudflare con reglas de WAF, pero la vulnerabilidad subyacente persistió hasta que los clientes aplicaron los parches. La lección clave es que depender únicamente de la seguridad en el punto de autenticación del servicio expuesto es insuficiente. La falta de una defensa en profundidad y de un modelo de seguridad Zero Trust permitió que una vulnerabilidad en una página de inicio de sesión se convirtiera en una ejecución remota de código, afectando potencialmente a los servidores de aplicaciones internos.