Citrix NetScaler: CISA conferma lo sfruttamento di due zero-day, CVE-2026-88771 e CVE-2026-88772

• Due zero-day Citrix NetScaler (CVSS v4 9,5) sfruttati attivamente per l'esecuzione di codice remoto
• Colpiti NetScaler ADC e Gateway gestiti in proprio; CISA li ha inseriti nel catalogo KEV
• Aggiornare a 14.1-73.37 o 13.1-64.23 (o successive) e cercare segni di compromissione
• Conservare log e prove prima di intervenire; in caso di violazione ricostruire da backup pulito

La statunitense CISA ha avvertito che due vulnerabilità zero-day critiche in Citrix NetScaler ADC e NetScaler Gateway, CVE-2026-88771 e CVE-2026-88772, sono sfruttate attivamente per eseguire codice da remoto su sistemi esposti. Entrambe hanno ottenuto un punteggio CVSS v4 di 9,5 su 10 e sono state aggiunte al catalogo Known Exploited Vulnerabilities (KEV) dell’agenzia.

Secondo CISA, le segnalazioni e le informazioni dei partner indicano attività di sfruttamento a livello globale. Citrix ha confermato che gli attacchi hanno colpito installazioni NetScaler gestite dai clienti e non aggiornate, e ha pubblicato aggiornamenti d’emergenza. Le due falle sono state rese note il 27 settembre 2026, insieme ad altre sei vulnerabilità di NetScaler, quando erano già sfruttate.

Le due vulnerabilità

I prodotti interessati sono spesso collocati al perimetro della rete, dove forniscono application delivery, load balancing, accesso VPN e accesso remoto sicuro. Un’appliance compromessa può quindi trovarsi tra gli utenti di internet e i sistemi interni dell’organizzazione.

• CVE-2026-88771: errata validazione dell’input. Un attaccante remoto non autenticato può eseguire comandi arbitrari. Riguarda anche le configurazioni predefinite, non richiede funzioni opzionali, ha bassa complessità d’attacco e non richiede interazione dell’utente. È la più ampia delle due.
• CVE-2026-88772: memory overflow che può portare a esecuzione di codice remoto o denial of service. Richiede che sia attivo il protocollo DTLS (Datagram Transport Layer Security), abilitato per impostazione predefinita sui virtual server VPN di NetScaler, salvo disattivazione esplicita.

Versioni colpite e corrette

Il bollettino di Citrix indica come vulnerabili:

• NetScaler ADC e Gateway 14.1 precedenti a 14.1-73.37;
• NetScaler ADC e Gateway 13.1 precedenti a 13.1-64.23;
• NetScaler ADC 14.1-FIPS precedenti a 14.1-73.37 FIPS;
• 13.1-FIPS e NDcPP precedenti a 13.1-37.279.

Anche i clienti Secure Private Access Hybrid devono aggiornare le istanze NetScaler vulnerabili. I servizi cloud gestiti da Citrix non rientrano nel bollettino, perché Cloud Software Group applica direttamente gli aggiornamenti.

Sviluppi successivi

Il quadro si è ampliato. Il 9 ottobre CISA ha aggiornato l’avviso, aggiungendo CVE-2026-107406 e sollecitando aggiornamenti rapidi per le vulnerabilità da CVE-2026-88771 a CVE-2026-88779. CVE-2026-88779 è una falla correlata a SAML, anch’essa sfruttata attivamente: può causare un denial of service e può essere usata per forzare un riavvio che aiuta l’esecuzione di codice già iniettato tramite CVE-2026-88771.

Cosa fare

• Censire tutte le appliance NetScaler ADC e Gateway gestite in proprio, in particolare quelle raggiungibili da internet, e aggiornare alle versioni corrette: 14.1-73.37 o successiva per il ramo 14.1, 13.1-64.23 o successiva per il 13.1. Per FIPS e NDcPP servono le relative versioni corrette.
• Verificare se CVE-2026-88772 è applicabile, controllando se DTLS è attivo sui virtual server VPN, con le verifiche di configurazione fornite da Citrix.
• Cercare segni di compromissione prima di aggiornare: secondo CISA, la sola patch può non eliminare il rischio su un dispositivo già violato.
• Inviare i log NetScaler a un SIEM o a una piattaforma di conservazione centralizzata, perché i log locali possono essere sovrascritti rapidamente. CISA ha pubblicato anche una regola Sigma per il threat hunting.

Se si sospetta una compromissione, Citrix consiglia di preservare prima le prove (snapshot di sistema, support bundle, dati di memoria se opportuno, record syslog remoti). Poi isolare l’appliance, cambiare credenziali e segreti, revocare certificati e chiavi private, analizzare i sistemi collegati e ricostruire da un backup pulito antecedente alla presunta violazione. Password, chiavi di cifratura delle chiavi e certificati SSL ripristinati vanno poi ruotati.

La fonte invita a trattare la vicenda come un incidente in corso e non come un normale aggiornamento: i dispositivi esposti vulnerabili vanno considerati potenzialmente sondati o compromessi.

Fonte: Cyber Security News · Foto: Cyber Security News